遠端主機上安裝的 postfix 版本低於 2.10.1-6。因此，它受到 ALAS2-2024-2420 公告中提及的一個弱點影響。

  - Postfix 3.8.5 及其之前版本允許 SMTP 走私，除非以 smtpd_data_restrictions=reject_unauth_pipeiling 和 smtpd_discard_ehlo_keywords=chunking (或最新版本中提供的某些其他選項) 設定。遠端攻擊者可利用已發布的惡意利用技術，插入具有偽造 MAIL FROM 位址的電子郵件訊息，進而繞過 SPF 保護機制。這是因為 Postfix 支援 <LF>.<CR><LF>，而其他一些流行的電子郵件伺服器並非如此。為防止攻擊變體 (一律禁止沒有 <CR> 的 <LF>)，需要使用不同的解決方案，例如 smtpd_forbid_bare_newline=yes 選項配搭最低版本為 3.5.23、3.6.13、3.7.9、3.8.4 或 3.9 的 Postfix。(CVE-2023-51764)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2：postfix (ALAS-2024-2420)

medium Nessus Plugin ID 189345

版本 1.0