KnowSafe 安全预警：OpenSMTPD < 6.6.2 远程代码执行漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-7247 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

smtp_mailaddr在OpenSMTPD 6.6 smtp_session.c，如在OpenBSD的6.6和其它产品中使用的，允许远程攻击者通过制作SMTP会话执行任意命令为根，通过在MAIL FROM字段shell字符所证明。这会影响&ldquo;注释掉&rdquo;默认配置。这个问题的存在，因为在输入验证失败的不正确的返回值。

影响范围

应用：openbsd opensmtpd（版本 6.6）

系统：alpine_3.11 opensmtpd（影响面 Up to (excluding) 6.6.2p1-r0）

系统：alpine_3.12 opensmtpd（影响面 Up to (excluding) 6.6.2p1-r0）

系统：alpine_3.13 opensmtpd（影响面 Up to (excluding) 6.6.2p1-r0）

系统：alpine_3.14 opensmtpd（影响面 Up to (excluding) 6.6.2p1-r0）

系统：alpine_3.15 opensmtpd（影响面 Up to (excluding) 6.6.2p1-r0）

系统：alpine_3.16 opensmtpd（影响面 Up to (excluding) 6.6.2p1-r0）

系统：alpine_3.17 opensmtpd（影响面 Up to (excluding) 6.6.2p1-r0）

……另有 10 项受影响环境，详见官方公告

解决方案

下载相关补丁

参考信息

http://packetstormsecurity.com/files/156137/OpenBSD-OpenSMTPD-Privilege-Escalation-Code-Execution.html

http://packetstormsecurity.com/files/156145/OpenSMTPD-6.6.2-Remote-Code-Execution.html

http://packetstormsecurity.com/files/156249/OpenSMTPD-MAIL-FROM-Remote-Code-Execution.html

http://packetstormsecurity.com/files/156295/OpenSMTPD-6.6.1-Local-Privilege-Escalation.html

http://packetstormsecurity.com/files/162093/OpenBSD-OpenSMTPD-6.6-Remote-Code-Execution.html

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。