Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の postfix

medium Nessus プラグイン ID 61010

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

Postfix が、TLS 暗号化を SMTP セッションに切り替えた後で、受信した SMTP コマンドバッファをフラッシュしないことが発見されました。
中間者攻撃者がこの欠陥を利用して、プレーンテキストフェーズ中の被害者のセッションに、SMTP コマンドを注入することがあります。これにより、 TLS 暗号化が有効になった後、これらのコマンドが Postfix によって処理され、攻撃者が被害者のメールや認証情報を盗む可能性があります。（CVE-2011-0411）

Postfix が、ユーザーのメールボックスファイルの権限を十分にチェックしていないことが発見されています。メールスプールディレクトリでファイルを作成できるローカルの攻撃者が、この欠陥を利用して他のローカルユーザーのメールボックスファイルを作成することで、このようなユーザーに配信されたメールが読まれる可能性があります。
（CVE-2008-2937）

この更新をインストールすると、postfix サービスは自動的に再起動されます。