Schwere Sicherheitslücke in Sendmail

Eine E-Mail mit manipuliertem Header reicht laut dem Entdecker der Lücke - Michael Zawlenski - bereits aus, um den Fehler in der Prescan-Funktion im Modul parseaddr.c. auszunutzen und damit "remote" das System zu kompromittieren. Daher sei jeder Sendmail-Transfer-Agent, der eine solche Mail empfängt oder weiterleitet, potenziell bedroht. Weitere Informationen finden Sie in unserem zugehörigen Security Report.

Angaben von sendmail.org zufolge ist das Leck in allen Versionen - ebenso in den kommerziellen - bis einschließlich Version 8.12.9 enthalten.

Einen ersten Patch haben die Entwickler bereits zur Verfügung gestellt. Die neue Version 8.12.10 soll den Entwicklern zufolge diesen Fehler nicht mehr enthalten. Mit der neuen Version werde auch eine Lücke im Ruleset-Parsing beseitigt, mit der ein Buffer Overflow erzeugt werden konnte. (bsc)