Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 sendmail

high Nessus Plugin ID 60774

語系：

概要

遠端 Scientific Linux 主機缺少一個或多個安全性更新。

說明

據發現，Scientific Linux 中的 sendmail 組態不會拒絕來自外部主機之電子郵件訊息的 ‘localhost.localdomain’ 網域名稱。這可允許遠端攻擊者掩飾偽造的訊息。(CVE-2006-7176)

在 sendmail 處理 X.509 憑證的 CommonName 欄位內 NULL 字元的方式中發現一個瑕疵。能夠取得由受信任之憑證授權單位簽署的特製憑證之攻擊者，可誘騙 sendmail 錯誤地接受該憑證，進而允許攻擊者執行攔截式攻擊，或繞過預定的用戶端憑證驗證。(CVE-2009-4565)

注意：CVE-2009-4565 問題只影響到一種組態，該組態使用具有憑證驗證和啟用了 CommonName 檢查的 TLS，這並非一般組態。

此更新也可修正下列錯誤：

- sendmail 無法剖析使用冒號作為分隔符號之 ServiceSwitchFile 選項所指定的檔案。(BZ#512871)

- 當可用空間偏低時，sendmail 未正確傳回零結束程式碼。(BZ#299951)

- sendmail 手冊頁面在
-qG 選項與參數之間有一個空格。(BZ#250552)

- sendmail.mc 檔案中的註解將錯誤的路徑指定給 SSL 憑證。(BZ#244012)

- sendmail 套件並未提供 MTA 功能。(BZ#494408)