RE: [sympa-fr] exploit exim/dovecot

[Philippe Aepli <adresse@cachée>]

Bonjour,

 

Merci pour la réponse ^^

 

J'ai fini par prendre le temps de tester mon installation et je crois que

je peux remercier les dev. de Debian, car l'option use_shell est désactivée

de base.

 

Et même en ayant autorisé l'utilisation des pipes dans les alias, l'exploit

ne fonctionne pas avec ma configuration.

 

Salutations.

 

PS: Pourquoi, il n'y a jamais eu d'exploit avec PostFix oO ?

 

 

 

Philippe AEPLI              Email: adresse@cachée

Université de Genève        Tél: +41 22 379 72 86

Division Informatique       Mob: +41 79 280 20 24

Rue du Général-Dufour, 24   Fax: +41 22 379 79 86

1204 Genève

 

De : Guillaume Tournat [mailto:adresse@cachée]
Envoyé : jeudi 20 juin 2013 16:01
À : adresse@cachée; Philippe Aepli
Objet : Re: [sympa-fr] exploit exim/dovecot

 

passez sous postfix :-)

 

Le 20/06/2013 11:35, Philippe Aepli a écrit :

Bonjour,

 

Je viens de découvrir cet exploit pour Exim:

http://guillaume.vaillant.me/?p=349

 

Je ne l'ai pas encore testé, mais comme j'utilise Exim4 comme MTA avec Sympa

et que le traitement des alias ce fait à l'aide de "pipe".

 

Je me pose la question à savoir si cet faille peut être exploitée ?

 

Il y aurait une solution en enlevant l'option "use_shell", mais alors est-ce

que le "pipe transport" fonctionnera toujours ?

 

Et si c'est le cas, comment s'assurer que cette option est bien désactivée ?

 

Merci d'avance pour vos réponse.

 

Salutations.

 

 

Philippe AEPLI              Email: adresse@cachée

Université de Genève        Tél: +41 22 379 72 86

Division Informatique       Mob: +41 79 280 20 24

Rue du Général-Dufour, 24   Fax: +41 22 379 79 86

1204 Genève

 

 

 

Attachment: smime.p7s
Description: S/MIME cryptographic signature