Sendmail セキュリティアラート

*注意： Windows版 Sendmail製品をお使いの方はつぎのページを御覧下さい

    http://www.sendmail-inc.jp/support/win3.html

どのような問題か？（2003年9月17日に発見された問題）

Sendmail Mail Transfer Agent (MTA) にバッファオーバフローを引き起こすバグが発見されました。このぜい弱性は Sendmail においてヘッダを処理するプログラムコードでのバッファオーバフローに起因しています。このぜい弱性を利用すると、攻撃者は対象のシステムの root (管理者) 権限アクセスを手に入れることができます。

なお、これは2003年3月に発見された問題とは別の問題です。

この問題の影響をうけるソフトウェア

Sendmail Switch、Sendmail Advanced Message Server（Sendmail Switch MTAを含む場合）、Sendmail for NTなどすべての商用版sendmail MTA 製品と、オープンソース sendmailバージョン5.79から8.12.9、及びそのバージョンのオープンソース sendmail を基に作成された他ベンダーの製品がこの問題の影響を受けます。

簡単に対処できるか？

パッチは簡単にインストールできます。1 システムあたり2、3分の作業で完了します。

影響するコンピュータについて

メールサーバとしてsendmailが動作しているすべてのコンピュータが影響を受けます。エンドユーザのメールクライアントには影響しません。この問題はメールのエンベロープではなくヘッダ処理において発生しますので、より下流の MTA にも問題が波及する可能性があります。ファイヤウォールの機能を利用して、パッチが適用されていないメールサーバへはアクセスできないようにする必要があります。ファイアウォールのMTAは最初にアップデートする必要がありますが、その他すべてのsendmail MTAもそれに続いてアップデートしてください。sendmail 以外の MTAの背後にあるすべての環境も同様に影響します（非Sendmail MTA が攻撃プログラムをリレーしてしまうことを Sendmailでは制御できないためです）。

オープンソースの利用者の方々へ

オープンソース版の sendmail へのパッチは次の URL よりダウンロードできます。またこのぜい弱性と対処方法に関するより詳しい情報もそちらを参照してください。

http://www.sendmail.org

Sendmail 社製品（サポート対象の製品）をご利用のお客さまへ

Sendmail 社は、現在のサポートしているすべてのバージョンの商用製品についてパッチを提供します。

パッチ提供対象製品:

• Sendmail Switch 3.1.x Solaris版、 Linux 版および AIX 版
• Sendmail Switch 3.0.x Solaris版、 Linux 版および AIX 版
• Sendmail Switch 2.2.x Solaris版、 Linux 版、(AIX版、Windows NT/2000版、および S390 Linux版
• Sendmail Switch 2.1.x HP-UX 版
• Sendmail Switch 2.2.xJ Windows NT/2000 版
• Sendmail Advanced Message Server 2.1.x Solaris 版、Linux 版、AIX 版
• Sendmail Advanced Message Server 2.0.x Solaris 版、Linux 版、AIX 版
• Sendmail Advanced Message Server 1.2 Solaris 版、 Linux 版、 AIX 版, および S390 Linux 版
• Sendmail Advanced Message Server 1.3 Windows 2000 版
• Sendmail for NT Version 3.0.x
• Sendmail for NT Version 2.6.x

Sendmail Advanced Message Serverはこれらのバージョンの Sendmail Switchを含んでいます。

次の場所からパッチをダウンロードできます。

http://www.sendmail.com/support/download

コンタクト先

Sendmail 社製品について、本件のセキュリティぜい弱性や対策についてより詳しいお問い合わせについてはつぎのアドレスへメールをお送り下さい:
security-info@sendmail.com

日本語でのお問い合わせは次のアドレスへお願いします。
センドメール株式会社

オープンソース版のSendmailに関して、このセキュリティぜい弱性や対策については、Sendmail コンソーシアムの Webサイトを御覧下さい。
http://www.sendmail.org/