ハッカー、Sendmailの脆弱性を突くコードを公開

　ポーランドのハッカーグループLSD（Last Stage of Delirium）は米国時間3月4日、先日のSendmailのセキュリティホールを悪用するコードを、実用例としてメーリングリストで公開した。

　このコードが投稿されたのは、Sendmailのセキュリティホールが発表されてから1日も経たたないうちだった。投稿によると、セキュリティホールのあるSendmailをRed Hat LinuxまたはSlackware Linux上で稼動している場合、攻撃者が遠隔操作でメールサーバを乗っ取ることができるという。

　LSDは、「幸いなことに、セキュリティホールの影響を受けるプラットフォームは限られている」としながらも、「急いで分析したため、セキュリティホールを悪用する別の方法を見逃している可能性がある」と警告している。

　先日発見されたセキュリティホールは、メールヘッダを解析するセキュリティ機能の1つで発生する。米Internet Security Systems（ISS）が発見し、3月3日に発表した。このセキュリティホールは15年以上も存在していたとされている。オープンソース版Sendmailのプロジェクト、Sendmail Consortiumによると、IBM、Hewlett-Packard（HP）、Apple Computer、Sun Microsystemsのほか、Red HatなどのLinuxベンダーを含む多くの企業が、該当するバージョンのSendmailを提供しているという。

　しかし、LSDの分析から、当初考えられていたほど様々なタイプのSendmailサーバが影響を受けるかどうかは疑問であることも判明した。これに対してSendmail Consortiumの創設者で、米Sendmailの最高技術責任者のEric Allmanは「そういった考え方が問題なのだ」と警告する。「セキュリティホールを悪用する他の方法があるかもしれない。とにかくパッチを当ててほしい」（Allan）