The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Почтовый сервер Sendmail удостоился 'A' рейтинга безопасности

24.06.2009 17:28

Компания Veracode присвоила почтовому серверу Sendmail высшую степень безопасности и защищенности операций. Veracode является производителем лидирующей на сегодняшний день платформы управления и анализа факторов риска. Чтобы получить данную оценку, Sendmail был протестирован на соответствие таким промышленным стандартам, как OWASP Top 10 и SANS-CWE Top 25.

Как сказал генеральный директор Veracode Matt Moynahan, предприятия все чаще внедряют открытые приложения в структуру своих бизнес процессов. При этом одним из основных вопросов выступает защищенность используемых решений. Система тестирования Veracode позволяет гарантировать легкий и быстрый поиск проблемных, с точки зрения безопасности, участков кода. К ним относятся как разного рода уязвимости, так и умышленно запрограммированные «лазейки» и вирусы. Без соответствующей проверки такой код остается незамеченным и компилируется в исполняемый модуль.

Клиентами Veracode являются наиболее крупные и озабоченные вопросами безопасности организации. В разное время Veracode удостаивалась таких званий, как Gartner "Cool Vendor", Wall Street Journal "Technology Innovation Award", The Banker "Information Security Project of the Year", Barclays, SC Magazine "Best Vulnerability Assessment Solution" и других.

  1. Главная ссылка к новости (http://news.yahoo.com/s/prweb/...)
  2. OpenNews: Уязвимость приводящая к удаленному запуску кода в sendmail
  3. OpenNews: Sendmail исключен из базовой системы NetBSD
  4. OpenNews: Вышел Sendmail 8.13.7 с устранением новой проблемы безопасности
  5. OpenNews: Проблемы в Sendmail в списке 10 самых опасных уязвимостей в UNIX ПО
  6. Общий список уязвимостей в Sendmail: 166 записей
Автор новости: blkdog
Тип: К сведению
Короткая ссылка: https://opennet.ru/22304-sendmail
Ключевые слова: sendmail, security
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (23) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (2), 20:53, 24/06/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Похоже на ситуацию, если бы подобного статуса удостоилась windows. Sendmail всегда славился дырами в плане безопасности.
     
     
  • 2.15, PereresusNeVlezaetBuggy (ok), 23:26, 24/06/2009 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >Похоже на ситуацию, если бы подобного статуса удостоилась windows. Sendmail всегда славился
    >дырами в плане безопасности.

    Не всегда. Последние годы он очень надёжен и вылизан.

    Что, впрочем, не отменяет прочих его недостатков :)

     
     
  • 3.18, vitek (??), 00:24, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • +1 +/
    угу.... а раньше он один только и работал нормально.

    юзаю его (так исторически сложилось - сложный, не удобный, но...) - и не разу не пожалел.
    а дырки?.... - ну дык везде, и поболе...

     

  • 1.3, Аноним (-), 20:54, 24/06/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    ссылки к новости доставляют
    * Проблемы в Sendmail в списке 10 самых опасных уязвимостей в UNIX ПО
    * Общий список уязвимостей в Sendmail: 166 записей
     
     
  • 2.60, гость (?), 15:50, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • +/
    А на дату новостей не смотрели? Или думаете, что проект не дорабатывается со временем?
     

  • 1.5, хрен_вам (?), 20:59, 24/06/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    пользуюсь им в течении 12 лет на всех серверах, трафик правда, небольшой около 3000 писем в сутки!
    рекомендую!
     
     
  • 2.6, anonymous (??), 21:02, 24/06/2009 [^] [^^] [^^^] [ответить]  
  • –3 +/
    >пользуюсь им в течении 12 лет на всех серверах, трафик правда, небольшой
    >около 3000 писем в сутки!
    >рекомендую!

    с удовольствием воспользуюсь рекомендацией и не стану менять хороший postfix на дырявое решето.

     
     
  • 3.8, хрен_вам (?), 21:12, 24/06/2009 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Дырявое, это если "дырки" не закрывать.
    А т.к. их очень быстро закрывают, то, это -
    процесс тестирования на "людях", косвенно говорящий,
    о популярности sendmail-а.
    Не падать духом, учиться никогда не поздно!
     

  • 1.7, Наблюдатель (?), 21:05, 24/06/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Интересно как тестировали почтовый сервер по заточенному под веб  OWASP 10...
     
     
  • 2.26, Hetzer (ok), 04:58, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Интересно как тестировали почтовый сервер по заточенному под веб  OWASP 10...
    >

    тоже улыбнулся

     

  • 1.9, Аноним (-), 21:22, 24/06/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Ссылки к новости:
       2. OpenNews: Уязвимость приводящая к удаленному запуску кода в sendmail
       3. OpenNews: Sendmail исключен из базовой системы NetBSD
       4. OpenNews: Вышел Sendmail 8.13.7 с устранением новой проблемы безопасности
       5. OpenNews: Проблемы в Sendmail в списке 10 самых опасных уязвимостей в UNIX ПО
       6. Общий список уязвимостей в Sendmail: 166 записей

    )))))))

     
     
  • 2.12, Умник (?), 22:07, 24/06/2009 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Sendmail уже давно 8.14 - пора просыпаться )))
     
  • 2.13, FSA (??), 23:14, 24/06/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Ссылки по теме реально жесть :)
     

  • 1.16, Zenitur (?), 23:54, 24/06/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Насчёт дырявого решета - безопасность и так очевидна, потверждению никто не удивляется из нас. Но вся она бессмыслена, из-за новостей здесь вроде "В этой программе найдена уязвимость! Чтобы воспользоваться ей удалённо, наберите вот это, заменив название сервера на нужное. В новой версии программы всё исправлено".
     
     
  • 2.34, Andrey Mitrofanov (?), 09:07, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А мне нравится: немного юмора и самоиронии в жизни унылых :-P пользователей унылого сендмыла.
     
     
  • 3.35, PereresusNeVlezaetBuggy (ok), 09:16, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • –2 +/
    >А мне нравится: немного юмора и самоиронии в жизни унылых :-P пользователей
    >унылого сендмыла.

    Ну вот и юзайте свой CGP, он веб-мордный и нарядный. Конечно, если вы доверяете больше своим теориям (вы код-то Sendmail когда последний раз внимательно изучали?), чем результатам практической работы более-менее уважаемой фирмы, не говоря об опыте неискушённых простых смертных, то умолкаю.

     
     
  • 4.63, netch (ok), 16:26, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Ну вот и юзайте свой CGP, он веб-мордный и нарядный. Конечно, если
    >вы доверяете больше своим теориям (вы код-то Sendmail когда последний раз
    >внимательно изучали?),

    А Вы? Попробуйте изложить словами логику работы, например, sendall() или флагов адреса согласно alias.c. Только, пожалуйста, без нецензурщины. Далее подсчитайте количество людей на планете, которые это всё реально понимают.

    >чем результатам практической работы более-менее уважаемой фирмы, не говоря
    >об опыте неискушённых простых смертных, то умолкаю.

    О какой фирме-то речь? Карманном детище Альмана?

     

  • 1.40, chuvy (??), 12:53, 25/06/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    2008-05-03 Sendmail 8.14.3 is available.
    Дата на официальном сайте. С тех пор не обновляется - либо он настолько стабилен и безопасен, либо им никто уже не занимается. А так действительно раньше было много дырок, возможно как самый пользуемый. Теперь с ним пролем нет, за исключением трудности его настройки из-за m4 :). Работает на машинах проблем не знаю. Его бы и дальше развивали бы.
     
     
  • 2.55, alexr (??), 13:56, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >2008-05-03 Sendmail 8.14.3 is available.
    >Дата на официальном сайте. С тех пор не обновляется - либо он
    >настолько стабилен и безопасен, либо им никто уже не занимается. А
    >так действительно раньше было много дырок, возможно как самый пользуемый. Теперь
    >с ним пролем нет, за исключением трудности его настройки из-за m4
    >:). Работает на машинах проблем не знаю. Его бы и дальше
    >развивали бы.

    Может приведешь пример из реальной жизни MTA чего нельзя сделать с помощью sendmail?
    IMHO поэтому и не развивается... т.к. за 20+ лет дальше некуда...

     
     
  • 3.61, DarkHost (??), 16:15, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Может приведешь пример из реальной жизни MTA чего нельзя сделать с помощью
    >sendmail?
    >IMHO поэтому и не развивается... т.к. за 20+ лет дальше некуда...

    Без холивара, давно сменил этот "недоделанный" sendmail на exim. Теперь "кручу-верчу" правила как хочу.
    Вы спрашиваете чего нельзя сделать с помощью sendmail? Легко! Нельзя задать точку назначения другой очереди. Точнее задать можно, но это не срабатывает, он не "сплитает" очередь внутри директории назначения. Вроде бы не такой уж существенный недостаток на первый взгляд, однако при большом объеме пересылки(50000 файлов в директории), скорость листинга директории достигает 2-3 секунд, а скорость парсинга содержимого файлов в такой директории и того больше, вот вам и тормоза.

     
  • 3.62, netch (ok), 16:24, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >Может приведешь пример из реальной жизни MTA чего нельзя сделать с помощью
    >sendmail?

    Например:
    1. Равномерная раздача одного письма на несколько получателей одновременно. То, что сейчас есть (нарезка на "конверты" по K получателей) только кривая затычка.
    2. На штатном .mc - фильтрация отдельных получателей в домене (не завёрнутом в virtuser). Можно только со своими рулесетами.
    3. Многоуровневая логика форварда (как в qmail - получение письма на a-b-c-d проверяет последовательно ~a/.forward-b-c-d, ~a/.forward-b-c-DEFAULT, ~a/.forward-b-DEFAULT, ~/a.forward-DEFAULT).
    4. Поддержка VERP и аналогичных подходов

    Далее, что можно сделать, но нафиг не надо, ибо у других проще в разы, если не в десятки раз:
    1. Сложные правила контроля приёма с выбором порядка отработки правил
    2. Лукапы в базах данных
    3. Просто приём почты (exim с кучей привешенного перла легче, чем sendmail с отработкой только рулесетов)

    >IMHO поэтому и не развивается... т.к. за 20+ лет дальше некуда...

    Потому что уже не в состоянии. Внутри там такое, что работать с ним невозможно.

     

  • 1.67, luzerz (?), 22:49, 25/06/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    http://www.xmailserver.org

    перешел по одной причине - надоело дружить поперы и сендмайлеры. и всякие через-одноместо виртюзертаблы.
    юзаю последние 4 года.

    жду появления на борту имап-а.

     
     
  • 2.68, mr_gfd (?), 19:48, 26/06/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >http://www.xmailserver.org
    >
    >перешел по одной причине - надоело дружить поперы и сендмайлеры. и всякие
    >через-одноместо виртюзертаблы.
    >юзаю последние 4 года.
    >
    >жду появления на борту имап-а.

    postfix+dovecot. C dovecot SASL и его же deliver.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2021 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру