Nueva vulnerabilidad en Sendmail

Se anuncia una nueva vulnerabilidad en Sendmail, presente en todas las
versiones anteriores a la 8.12.8 (inclusive).

Sendmail es el MTA (Mail Transfer Agent) más veterano y popular en
Internet, con una cuota de bastante más del 50% de los servidores de
correo.

Las versiones 8.12.8 y anteriores de Sendmail tienen una vulnerabilidad
como consecuencia de que el analizador de direcciones realiza, en
determinadas circunstancias, unas comprobaciones de límite insuficientes
debido a una conversión de tipo char a int. Esto puede ser utilizado por un
atacante para conseguir el control de la aplicación.

El impacto de esta vulnerabilidad puede estimarse en la obtención de
privilegios de root por parte del atacante. Se ha verificado que la
vulnerabilidad es explotable en local y aunque no se ha podido verificar
la posibilidad de que también se pueda explotar remotamente, tampoco se ha
podido descartar esta posibilidad. Aquellas instalaciones de Sendmail
configuradas con separación de privilegios también son vulnerables, dada
la posibilidad de comprometer la cuenta de smmsp y controlar la cola de
mensajes.

El problema se encuentra en la función prescan(), del archivo parseaddr.c
que, bajo ciertas circunstancias, sobrepasa los límites del búfer asignado
y sobreescribe las variables de la pila, alcanzando y sobrepasando el
puntero de la instrucción almacenada. La función prescan() se utiliza
ampliamente en todo el código de Sendmail durante el proceso de las
direcciones de correo.

El consorcio Sendmail ha publicado una nueva versión de Sendmail, que
elimina esta vulnerabilidad. También facilita indicaciones de como
parchear las versiones anteriores para evitar esta vulnerabilidad. Por su
parte, también pide disculpas por publicar este aviso un sábado, a
consecuencia de la distribución en una lista de correo de información
acerca esta vulnerabilidad.

Esto no deja de ser un recordatorio que las incidencias de seguridad no
descansan los fines de semana (ni cualquier otro día). Es por esto que
desde Hispasec recomendamos disponer de medidas de información sobre las
alertas de seguridad, que avisen por e-mail y SMS ante cualquier
incidencia destacada. Un ejemplo es el servicio SANA, que informa
instantáneamente de cualquier incidencia o actualización necesaria a
cualquier hora del día.