Syspatch: patch OpenSMTPD (envelope) - multi-arch - 6.5, 6.6

Rédigé par PengouinBSD Aucun commentaire
Classé dans : Syspatch Mots clés : syspatch, opensmtpd, smtpd, amd64, arm64, i386, multi-arch, 6.5, 6.6
L'équipe OpenBSD nous livre un nouveau correctif pour smtpd à destination d'OpenBSD 6.5 et 6.6, et de toutes les architectures supportées.

  • nommé "smtpd_envelope" - faille de sécurité - : un "out of bound" lu dans smtpd permet à un attaquant d'injecter des commandes arbitraires dans un fichier d'enveloppe qui sont alors exécutées avec les droits root. Séparément, un oubli de révocation des privilèges dans smtpctl permet à des commandes arbitraires d'être exécuté avec les droits du groupe `_smtpg`. 6.5 : patch n°31 ; 6.6 : patch n°21.

Il est nécessaire de redémarrer le service.



Architectures concernées : hormis amd64, arm64 et i386 qui peuvent le faire par syspatch, toutes les autres architectures gérées par le projet OpenBSD doivent le faire par re-compilation.

Lire la FAQ Administration Système pour savoir quoi faire : EN Official FAQ, FR



Syspatch: patch OpenSMTPD (exec, tls) - multi-arch - 6.5, 6.6

Rédigé par PengouinBSD Aucun commentaire
Classé dans : Syspatch Mots clés : syspatch, opensmtpd, smtpd, amd64, arm64, i386, multi-arch, 6.5, 6.6
L'équipe OpenBSD nous livre deux nouveaux correctifs pour le service OpenSMTPD :

  • le premier se nomme "smtpd_tls" - faille de fiabilité - afin de corriger un plantage du service, causant lui-même un DOS, à la suite d'un déclassement opportuniste de TLS. 6:5 : patch n°29 ; 6.6 : patch n°18 .
  • le second se nomme "smtpd_exec" - faille de sécurité - pour corriger une vérification incorrecte qui permettait à un attaquant de tromper à la fois, et la livraison mbox en exécutant des commandes arbitraires en tant que root, et la livraison lmtp en exécutant des commandes arbitraires en tant qu'utilisateur non privilégié. 6.5 : patch n°30 ; 6.6 : patch n°19 .
Il est nécessaire de redémarrer le service.



Architectures concernées : hormis amd64, arm64 et i386 qui peuvent le faire par syspatch, toutes les autres architectures gérées par le projet OpenBSD doivent le faire par re-compilation.

Lire la FAQ Administration Système pour savoir quoi faire : EN Official FAQ, FR


OpenSMTPD 6.4.0

Rédigé par PengouinBSD Aucun commentaire
Classé dans : News Mots clés : OpenSMTPD, SMTP, 6.4

OpenSMTPD 6.4.0 vient juste de sortir.

OpenSMTPD est une implémentation LIBRE du protocole SMTP avec certaines extensions communes. Il permet à des machines ordinaires d'échanger des courriels avec les systèmes parlant le protocole SMTP. Il implémente une assez grande partie de la RFC 5321 et peut toujours couvrir un grand nombre d'usages

Il fonctionne sur OpenBSD, NetBSD, FreeBSD, DragonFlyBSD et Linux.

Les archives sont maintenant disponibles depuis le site principal sur www.OpenSMTPD.org

Nous aimerions remercier la communauté d'OpenSMTPD pour leur aide à tester les instantanés, rapporter des bogues, contribuer au code et mettre en paquet pour d'autres systèmes.

C'est une version majeure qui avec de nombreux changements créant une rupture.

Les changements dans cette version (depuis 6.3.0)

Les changements de cette version sont :

  • La syntaxe du fichier de configuration a complètement été retravaillée, cassant la compatibilité avec les anciens fichiers de configuration.
  • Les wrappers mda permettent de définir une commande de pré-processus de mail avant que le mda les écrivent dans leurs boîtes de mails.
  • OpenSMTPD dépend maintenant de LibreSSL en tant que bibliothèque SSL ; il ne sera plus géré OpenSSL et LibreSSL.
  • un client SMTP est livré maintenant avec OpenSMTPD
  • la documentation a été retravaillé à plusieurs endroits.
  • un lot de correctifs de bogues mineurs et de nettoyages de codes a été introduit.

Sommes de contrôle

  SHA256 (opensmtpd-6.4.0.tar.gz) =
  a14c7486557c0f6202efb800f509b418e56e9976a931473ebfaae2f0c5a24fbd

  SHA256 (opensmtpd-6.4.0p1.tar.gz) =
  0857c14b5b4150daa4312cb0a85f41209792c83080beafc84ed0ddaaa985bde3

Vérification

Depuis la version 5.7.1, les versions sont signées avec signify(1).

Vous pouvez obtenir la clé publique depuis notre site web, vérifier avec notre communauté‌ qu'elle n'a pas été altérée en aucune manière vers votre machine.
 

  $ wget https://www.opensmtpd.org/archives/opensmtpd-20181026.pub

Une fois que vous êtes sûr que la clé est correcte, vous pouvez vérifier la version tel que décrit ci-dessous :

  1. Téléchargez l'archive de la version et le fichier de signature correspondant depuis le même répertoire :
    => Pour la version OpenBSD :
       $ wget https://www.opensmtpd.org/archives/opensmtpd-6.4.0.sum.sig
       $ wget https://www.opensmtpd.org/archives/opensmtpd-6.4.0.tar.gz
    
    => pour la version portable : 
       $ wget https://www.opensmtpd.org/archives/opensmtpd-6.4.0p1.sum.sig
       $ wget https://www.opensmtpd.org/archives/opensmtpd-6.4.0p1.tar.gz
    
  2. Utilisez `signify` pour vérifier que la signature du fichier soit correctement signée et que la somme de contrôle correspond à l'archive que vous avez téléchargée :
    => Pour la version d'OpenBSD :
       $ signify -C -e -p opensmtpd-20181026.pub -x opensmtpd-6.4.0.sum.sig
       Signature Verified
       opensmtpd-6.4.0.tar.gz: OK
    
    => pour la version portable : 
       $ signify -C -e -p opensmtpd-20181026.pub -x opensmtpd-6.4.0p1.sum.sig
       Signature Verified
       opensmtpd-6.4.0p1.tar.gz: OK

Si vous n'avez pas le message OK, alors quelque chose n'est pas bon et vous ne devriez pas installer sans comprendre pourquoi il est en erreur.

Support

Vous êtes encouragés à vous enregistrer sur notre liste de diffusion générale : http://www.opensmtpd.org/list.html

Le canal IRC "officiel" pour le projet est : #OpenSMTPD @ irc.freenode.net

Rapporter des bogues

Veuillez lire : http://www.opensmtpd.org/report.html

Les bogues de sécurité doivent être rapportés directement à security@opensmtpd.org

Les autres bogues peuvent être rapportés à bugs@opensmtpd.org

 

Fil RSS des articles de ce mot clé