Apakah aman menggunakan procmail di tahun 2017?


28

Saya baru saja menemukan bahwa situs web procmail ( http://www.procmail.org/ ) sedang down. Saya melakukan riset tentang statusnya dan tampaknya pengembangan procmail sudah mati sejak tahun 2001. Bahkan pengelola procmail yang lama merekomendasikan untuk menghapusnya dari port openbsd karena kodenya tidak aman ( https://marc.info/? l = openbsd-ports & m = 141634350915839 & w = 2 ). Ini agak menakutkan, karena bug yang tidak diperbaiki dapat menyebabkan eksploitasi eksekusi kode jarak jauh. Distribusi Linux terbaru (mis. Ubuntu, Debian) masih menyediakannya, tetapi apakah masih aman untuk menggunakan procmail?


4
Sebagai aturan umum, saya lebih suka untuk tidak menggunakan paket yang belum dipelihara selama bertahun-tahun.
Mat

Jawaban:


31

Anda benar bahwa Procmail tidak dikelola untuk sementara waktu, dan pengelola terakhirnya menyarankan untuk menggunakan alat alternatif seperti Maildrop atau Sieve.

Alasan banyak distribusi belum melihat ini sebagai risiko keamanan nyata meliputi:

  • Distribusi dapat menerbitkan tambalan keamanan mereka sendiri terlepas dari pengembang sebenarnya dari perangkat lunak asli. Mereka melakukannya .
  • Surat yang sedang diprosesnya telah melewati seluruh MTA termasuk beberapa sintaks dan pemeriksaan konten dan penyaringan spam. Sepertinya tidak akan ada apa pun yang dapat memicu kerentanan dalam tajuk yang dibandingkan dengan Procmail MDA untuk memutuskan di mana harus meletakkan pesan.
  • Tugas-tugas yang biasanya dilakukan Procmail cukup sederhana.

Jadi, ya dan tidak. Jika Anda memiliki masalah di lingkungan Anda, Anda memiliki alternatif.


7
Terima kasih, ini sangat membantu! Saya memeriksa changelog Debian dari paket procmail dan memang ada beberapa tambalan keamanan setelah tahun 2001. Beberapa dari mereka cukup menakutkan. Misalnya, meluap dengan tajuk yang cacat. Jadi tergantung pada distribusinya, tampaknya masih didukung.
Bersenang

Saya hanya menyesuaikan urutan alasannya karena inilah alasan utama sebenarnya.
Esa Jokinen
Dengan menggunakan situs kami, Anda mengakui telah membaca dan memahami Kebijakan Cookie dan Kebijakan Privasi kami.
Licensed under cc by-sa 3.0 with attribution required.