Viestintäviraston CERT-FI -tietoturvallisuusyksikkö varoittaa Sendmail-ohjelmistosta löytyneestä uudesta etähyödynnettävästä haavoittuvuudesta, joka liittyy sähköpostiviestin otsikkotietojen käsittelyosuuteen. Sendmail on yleisin SMTP-sähköpostin välitysohjelmisto (MTA, Mail Transfer Agent).
Nyt paljastunutta haavoittuvuutta hyväksikäyttämällä hyökkääjä voi aikaansaada palvelunestotilanteen Sendmail-palvelimessa tai suorittaa ohjelmakoodia Sendmail-ohjelmiston oikeuksilla ja päästä haavoittuvan palvelimen pääkäyttäjäksi.
Hyökkäys palvelimelle voi tapahtua haavoittuvuutta hyödyntävän ohjelmakoodin sisältävällä sähköpostiviestillä. Myös sisäverkossa sijaitsevat Sendmail-palvelimet, jotka saavat kaiken käsiteltävän postiliikenteen esimerkiksi virussuodatuspalvelimen kautta, ovat alttiita haavoittuvuudelle.
Haavoittuvuudelle ovat alttiita SMTP-sähköpostipalvelimet, joissa on käytössä avoimeen lähdekoodiin perustuva ohjelmisto:
- Sendmail-ohjelmisto ennen versiota 8.12.9
- Sendmail Pro 8 (kaikki versiot)
- Sendmail Switch 2.1 ennen versiota 2.1.6
- Sendmail Switch 2.2 ennen versiota 2.2.6
- Sendmail Switch 3.0 ennen versiota 3.0.4
- Sendmail for NT 2.X ennen versiota 2.6.3
- Sendmail for NT 3.0 ennen versiota 3.0.4
Ratkaisu:
Päivitä Sendmail-ohjelmisto korjattuun versioon tai asenna erillinen haavoittuvuuden korjaava ohjelmistopäivitys. Haavoittuvuus on korjattu avoimeen lähdekoodiin pohjautuvassa Sendmail-jakelussa ohjelmistoversiossa 8.12.9.
CERT-FI julkaisi muutama viikko sitten edellisen Sendmail-tietoturvaongelmaa koskevan varoituksen, mutta senkin perusteella päivitetyt järjestelmät vaativat nyt uuden päivityksen.