「Postfix 3.11.7」リリース、旧系列も同時に更新

　Postfix.orgは9月8日(現地時間)、オープンソースのメール転送エージェント「Postfix 3.11.7」をリリースした。

　Postfixは、電子メールの受信や配送、他のメールサーバーへの転送などを行うメール転送エージェント(MTA)。LinuxやBSDなどのUnix系OSで広く利用されている。ライセンスはIBM Public License。

　「Postfix 3.11.7」は、MySQLのTLS証明書検証やSMTPの応答処理、ローカル配送、データベース移行機能などの修正、強化のほか、SMTPスマグリングやリモートからのサービス拒否(DoS)につながる問題を含む複数の不具合などが修正されている。

　「Postfix 3.11.7」のハイライトは次の通り。
〇「postmap」と「postalias」で危険な所有権を持つデータベース作成時に警告を表示
〇「postdrop」でキューファイルへのNULL文字や改行文字の挿入を拒否
〇非Berkeley DB形式への移行機能や仮想メールボックス配送処理を強化
〇「smtpd_proxy_filter」利用時に不正なCRを処理できるSMTPスマグリング問題を修正
〇Require-TLS-ESMTPヘッダー追加時の例外処理によるSMTPスマグリング問題を修正
〇SMTPUTF8アドレスを含む特別な要求によってSMTPサーバープロセスがクラッシュする問題を修正
〇Oracle MySQL 8以降で「tls_verify_cert=yes」が機能しない問題を修正
〇「pipe」配送エージェントで空の「$user」を含む引数が削除される問題を修正
〇SMTPクライアントが文字列を伴わない3桁の応答を受信した際の解析処理を修正
〇TLSセッションチケットを異なるSMTPサービス間で再利用できないように変更
〇Milterや中間者からの不正な複数行応答によるヒープ領域の過剰読み取りを修正
など。

　なお、本リリースの公開と同時に、サポート対象系列のPostfix 3.10.14、3.9.15、3.8.21も公開されている。サポート終了済みの3.7、3.6、3.5系列についても、それぞれ3.7.23、3.6.21、3.5.28が用意されている。ただし、これら旧系列には2026年6月に公開された大容量SMTP入力とTLSA解析に関する修正が含まれないため、継続利用は注意が必要。

　Postfixは、各国のミラーサイトから無償でダウンロード・利用できる。

(川原 龍人/びぎねっと)

[関連リンク]
リリースアナウンス(3.11.7)