OpenBSD OpenSMTPD のリモートコード実行の脆弱性（CVE-2020-7247）

何が起きた

メールを送受信するソフト OpenSMTPD で、送信元のメールアドレス（MAIL FROM）の確かめ方に誤りがある弱点が見つかりました。細工したメールのやり取りを送ると、root（最も強い権限）で任意の（攻撃者が好きに選べる）命令を実行されるおそれがあります。実際の悪用も確認されています。攻撃者はネットワーク経由で離れた場所から、ログインなしで悪用でき、被害者の操作は要りません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、OpenSMTPD 6.6 と、それを使う OpenBSD 6.6 などの製品が対象です。初期設定のままでも影響を受けます。

何をすればいい

OpenBSD 6.6 では、2020 年 1 月 30 日に公開された修正（errata 019）のパッチを当ててください。ほかの製品で OpenSMTPD を使っている場合は、その製品の提供元の案内に従って更新してください。公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

• OpenSMTPD のバージョンを確認する
• OpenBSD 6.6 に errata 019 を当てる
• 他の製品は提供元の更新を適用する

用語メモ

OpenSMTPD

OpenBSD のプロジェクトが作っている、メールを送受信するためのサーバーソフトです。

root

Linux や OpenBSD などで、すべての操作ができる最も強い権限を持つ利用者です。

パッチ

ソフトウェアの不具合や弱点を直すための修正プログラムです。