Red Hat セキュリティアドバイザリ 2011:0262 から：

1 つのセキュリティ問題と 3 つのバグを修正する更新済みの sendmail パッケージが、Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

sendmail は、マシン間でメールを送信するのに用いる Mail Transport Agent（MTA）です。

sendmail が X.509 証明書の CommonName フィールドにおける NUL 文字を処理過程に欠陥が見つかりました。攻撃者が、周到に細工された証明書を信頼できる認証局に署名させることができた場合、sendmail を騙して当該の証明書を誤って承認させ、中間者攻撃を行ったり、意図したクライアント証明書の認証をバイパスしたりする可能性があります。(CVE-2009-4565)

CVE-2009-4565 の問題は、一般的な構成ではない、証明書の検証と CommonName チェックが有効になっている、TLS を使用する構成にのみ影響を与えました。

この更新は以下のバグも修正します：

* かつては、sendmail が、長い最初のヘッダーラインのあるメールメッセージを正しく処理できませんでした。2048 文字を超えるラインが分割され、制限を超過するラインの一部と、以下のメールヘッダーのすべてが、メッセージ本文として間違って処理されました。（BZ#499450）

* SMTP-sender が sendmail にメールを送信している際に、そのデータをメールキューのファイルにスプールすることがあります。SMTP-sender がデータ送信を停止してタイムアウトが発生すると、ファイルは削除されるのではなくメールキューに残ったままになることが判明しました。
この更新は、あらゆる状況や構成でこの問題を修正するわけではありません。詳細については、「ソリューション」セクションを参照してください。
（BZ#434645）

* かつては、sendmail マクロ MAXHOSTNAMELEN で、ホスト名長さの制限値として 64 文字を使用していました。ただし、一部のケースでは、最大文字長さ 255 が FQDN 長に対して使用されていました。
この更新では、MAXHOSTNAMELEN 制限が 255 に変更されました。
（BZ#485380）

sendmail の全ユーザーは、これらの更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。この更新をインストールすると、 sendmail は自動的に再起動されます。

検出

Oracle Linux 4：sendmail（ELSA-2011-0262）

high Nessus プラグイン ID 68203

変更ログが見つかりません