[sympa-fr] exploit exim/dovecot

[Philippe Aepli <adresse@cachée>]

Bonjour,

 

Je viens de découvrir cet exploit pour Exim:

http://guillaume.vaillant.me/?p=349

 

Je ne l'ai pas encore testé, mais comme j'utilise Exim4 comme MTA avec Sympa

et que le traitement des alias ce fait à l'aide de "pipe".

 

Je me pose la question à savoir si cet faille peut être exploitée ?

 

Il y aurait une solution en enlevant l'option "use_shell", mais alors est-ce

que le "pipe transport" fonctionnera toujours ?

 

Et si c'est le cas, comment s'assurer que cette option est bien désactivée ?

 

Merci d'avance pour vos réponse.

 

Salutations.

 

 

Philippe AEPLI              Email: adresse@cachée

Université de Genève        Tél: +41 22 379 72 86

Division Informatique       Mob: +41 79 280 20 24

Rue du Général-Dufour, 24   Fax: +41 22 379 79 86

1204 Genève

 

Attachment: smime.p7s
Description: S/MIME cryptographic signature