来自 Red Hat 安全公告 2011:0262：

更新后的 sendmail 程序包修复了一个安全问题和三个缺陷，现在可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Sendmail 是用于在机器之间发送邮件的邮件传输代理 (MTA)。

在 sendmail 处理 X.509 证书的 CommonName 字段中的 NUL 字符的方式中发现一个缺陷。能够获得精心构建的由受信任的证书颁发机构签名的证书的攻击者可以诱骗 sendmail 错误地接受该证书，从而允许攻击者执行中间人攻击或绕过预期客户端证书认证。(CVE-2009-4565)

CVE-2009-4565 问题仅影响使用 TLS 并启用了证书验证和 CommonName 检查的配置，此配置不是典型配置。

此更新还修复以下缺陷：

* 以前，sendmail 未正确地处理具有较长首标头行的邮件消息。具有超过 2048 个字符的行被拆分，导致超出限制的行部分以及之后所有的邮件标头被作为消息正文予以错误处理。(BZ#499450)

* 当 SMTP 发件人向 sendmail 发送邮件数据时，可能将该数据汇聚到邮件队列中的一个文件。已发现如果 SMTP 发件人停止发送数据并出现超时，文件可能停留在邮件队列中，而不会被删除。
此更新可能无法修正每种情况和配置中的这一问题。有关详细信息，请参阅“解决方案”部分。
(BZ#434645)

* 以前，sendmail 宏 MAXHOSTNAMELEN 使用 64 个字符作为主机名长度的限值。但是，在某些情况下使用 FQDN 长度，其最大长度为 255 个字符。
通过此更新，MAXHOSTNAMELEN 限值已被更改为 255。
(BZ#485380)

所有 sendmail 用户应升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装此更新后，sendmail 将自动重新启动。

检测

Oracle Linux 4：sendmail (ELSA-2011-0262)

high Nessus 插件 ID 68203

未找到变更日志