「Postfix 3.11.6/ 3.10.13/3.9.14/3.8.20/3.7.22/3.6.20/3.5.27」リリース ─ SMTPポリシー回避やDoS問題を修正

3.11.6から3.5.27まで同時公開、OpenAI Securityなどが問題を報告

8月12日 23:52

　postfix.orgは8月11日（現地時間）、メール転送エージェント「Postfix 3.11.6/ 3.10.13/3.9.14/3.8.20/3.7.22/3.6.20/3.5.27」をリリースした。

　「Postfix」は、SMTPを利用して電子メールを転送・配送するオープンソースのメール転送エージェント（MTA）。高速性、管理のしやすさ、安全性を重視して開発されており、LinuxやBSDをはじめとするUnix系OSで利用されている。

　「Postfix 3.11.6」では、SMTPの状態管理に起因するポリシー制御の回避、BDATコマンドを利用したメモリ枯渇、アドレス検証キャッシュの汚染など、複数のセキュリティ問題が修正されている。主な修正点は次の通り。

〇メッセージがsmtpd_end_of_data_restrictionsで拒否された際に、MAIL FROMおよびRCPT TOの状態がリセットされない問題を修正
〇上記の問題によってcheck_recipient_accessの制約が回避される可能性を修正
〇Milterによるポリシー適用が回避される可能性を修正
〇BDATコマンドのエラー後にRCPT TOの状態がリセットされず、SMTPサーバがクラッシュする可能性を修正
〇大量の小さなBDATリクエストによってSMTPサーバのメモリを枯渇させられる問題を修正
〇アドレス検証キャッシュの汚染によって、本来受信すべきメールが拒否される可能性を修正
〇異なるmaster.cfサービス間でTLSセッションチケットを受け入れないよう分離を強化
〇Oracle MySQL 8以降で「tls_verify_cert = yes」が機能していなかった問題を修正
〇ローカルから投入されるキューファイルのエンベロープレコードに、NULL文字や改行文字が含まれないよう制限
〇postscreenにおける不正なポインタ参照を修正
など。

　「Postfix 3.11.6/ 3.10.13/3.9.14/3.8.20/3.7.22/3.6.20/3.5.27」などのソースコードは、Webサイトから入手できる。

(川原龍人/びぎねっと)

[関連リンク]
リリースアナウンス(3.11.6)
The Postfix

この記事をシェアしてください