◈ 제목
Sendmail의 원격버퍼오버플로우 취약점
◈ 해당 시스템
Sendmail Pro (all versions)
Sendmail Switch 2.1.5 이전 버젼
Sendmail Switch 2.2.5 이전 버젼
Sendmail Switch 3.0.3 이전 버젼
Sendmail for NT 2.6.2 이전 버젼
Sendmail for NT 3.0.3 이전 버젼
Sendmail 공개버젼 8.12.8 이전 버젼을 사용하는 모든 시스템
◈ 영향
Sendmail의 버퍼오버플로우 취약점을 이용하여 Sendmail 실행user권한(일반적으로 root)을 얻을 수 있다.
◈ 설명
원격에서 Sendmail의 버퍼오버플로우 취약점을 이용하여 악의적인 코드를 실행할 수 있는 취약점이 발견되었다.
공격자는 메일의 헤더(header)부분에 악의적인 코드를 추가하여 공격자가 의도한 임의의 명령을 실행할 수 있다. 예를들어, 공격자는 Sendmail을 실행하는 사용자 권한(일반적으로 root)을 취득할 수 있다.
본 취약점은 대부분의 사이트에서 sendmail을 메일교환 에이전트(MTA : Mail Transfer Agent)로 사용하고, 특히 대부분의 Unix 및 Linux시스템에 sendmail 서비스가 포함되어 기본적으로 자동실행된다는 점에서 위험도가 높다. 윈도우 시스템에는 기본적으로 sendmail 서비스가 포함되어 있지 않지만, 사용자가 메일 서비스 제공을 위하여 sendmail윈도우 버젼을 다운받아 설치한 경우에도 취약점의 영향을 받는다.
본 취약점을 이용한 공격은 메일 메세지 형태를 변조하여 이루어지는 공격으로 침입차단시스템(방화벽) 또는 침입탐지시스템(IDS)에서 탐지가 불가능하다. 또한 본 취약점을 이용한 공격시도는 각 해당시스템의 시스템 로그에도 기록되지 않는다. 다만 하단에 명시한 패치를 적용하는 경우, 해당 시스템 로그에 다음과 같은 로그가 기록된다.
"Dropped invalid comments from header address"
◈ 해결책
각 시스템 및 버젼에 해당하는 패치를 적용한다.
패치 다운로드 위치 :
http://www.sendmail.com/support/download/patch_page.shtml
ftp://ftp.sendmail.org/pub/sendmail/sendmail.8.12.security.cr.patch
ftp://ftp.sendmail.org/pub/sendmail/sendmail.8.12.security.cr.patch
ftp://ftp.sendmail.org/pub/sendmail/sendmail.8.9.3.security.cr.patch
OS별 패치 다운로드 위치 :
Sun
-
http://sunsolve.sun.com/patches
Red Hat Linux
-
http://rhn.redhat.com/errata/RHSA-2003-073.html
Red Hat Linux Advnced Server/Workstation
-
http://rhn.redhat.com/errata/RHSA-2003-074.html
Hewlett Packard
-
http://www.hp.com/support
IBM
-
ftp://ftp.software.ibm.com/aix/efixes/security/sendmail_efix.tar.Z
SGI
-
http://www.sgi.com/support/security
-
ftp://patches.sgi.com/support/free/security/advisories/20030301-01-P
SuSE Linux
-
http://www.suse.com/us/private/support/security
◈ 참조 사이트
http://www.sendmail.org
http://www.sendmail.org/8.12.8.html
http://www.sendmail.com/security/
http://www.cert.org/advisories/CA-2003-07.html
http://www.iss.net/issEn/delivery/xforce/alertdetail.jsp?oid=21950
http://www.securityfocus.com/advisories/5043
http://www.kb.cert.org/vuls/id/398025
