1 つのセキュリティの問題を修正する更新版の exim パッケージが、 Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションのCVEリンクで確認できます。

Exim は、ケンブリッジ大学が開発したメール転送エージェント（MTA）であり、インターネットに接続された UNIX システムで使用されます。

Exim では、権限昇格の欠陥が見つかっています。攻撃者が「exim」ユーザーに対するアクセスを取得できると、rootユーザーとしてEximに任意のコードを実行させることができます。（CVE-2010-4345）

この更新では、新しい構成ファイル「/etc/exim/trusted-configs」が追加されます。更新後は、信頼できるとリストに示されていない構成ファイルで Exim を実行すると、権限がドロップされ、 root として任意のコマンドを Exim で実行されないようになりました。これにより、特定の Exim 構成との後方互換性が失われせます。これは、信頼できる構成ファイルがデフォルトでは「/etc/exim/exim.conf」および「/etc/exim/exim4.conf」のみを信頼するためです。新しい信頼できる構成ファイルにリストされていない構成ファイルを使用している場合は、手動で追加する必要があります。

さらに、Exim ではユーザーに -D コマンドラインオプションで root として実行させ、マクロ定義が上書きされることはなくなりました。今後は root 権限を必要とするすべてのマクロ定義を、信頼できる構成ファイルに配置する必要があります。

Exim のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、この問題を解決することが推奨されます。この更新のインストール後、Exim デーモンが自動的に再起動します。

検出

CentOS 4 / 5：exim（CESA-2011: 0153）

medium Nessus プラグイン ID 51785

変更ログが見つかりません