米Sendmailのメール・サーバーに深刻なセキュリティ・ホール

井上望

2003.03.04

　米Sendmailと米Internet Security Systems（ISS）は米国時間3月3日，Sendmail社のメール・サーバーにセキュリティ・ホールを検出したことを明らかにした。

　このセキュリティ・ホールにより，認証を得ていないユーザーが，標的とするシステムにルート・レベルでアクセスしてしまう危険性があるという。Sendmail社はすでにパッチをリリースし，直ちに適用するようユーザーに呼びかけている。

　Sendmail社は，「現在のところ，このセキュリティ・ホールを悪用するコードは確認されていない」としながらも，「パッチを当てなければシステムが侵入される恐れがある」と警告している。
　
　対象となるソフトウエアは以下の通り。

・「Sendmail Switch MTA」を含む「Sendmail Advanced Message Server」，「Sendmail Switch」，「Sendmail for NT」，「Sendmail Pro」の有償版。

・Sendmailのオープン・ソース版5.79～8.12.7。

・Sendmailのオープン・ソース版をベースにしたサード・パーティ製品。

　パッチとセキュリティ・ホールに関する詳しい情報は，http://www.sendmail.comとhttp://www.sendmail.orgから入手可能。また，ISS社のWWWサイトにも情報を掲載している。

　ちなみに米メディアの報道（CNET News.com）によると，問題のセキュリティ・ホールはSendmail MTAが長すぎるヘッダーを解析する際に発生するという。ISS社は，「このセキュリティ・ホールを悪用するプログラムは，電子メールで配布できる。また，標的となるシステムについて詳しい知識がない者でも攻撃を仕掛けられるという点で非常に危険だ」と指摘している。