---------------------------------------------------------------------
■Exim 4.70～4.80におけるDomainKeys Identified Mail（DKIM）処理の
  脆弱性について - バージョンアップを強く推奨 -

                               株式会社日本レジストリサービス（JPRS）
                                                    2012/11/01（Thu）
---------------------------------------------------------------------

▼概要

  メール転送エージェント（MTA）の1つであるEximのバージョン4.70～4.80
  には、DomainKeys Identified Mail（DKIM）のDNSデータの処理に実装上の
  不具合があり、当該バージョンのEximが動作しているメールサーバーに対し、
  攻撃者が作成した電子メールを外部から送りつけることにより、当該のメー
  ルサーバーにおいて任意のコードを実行することが可能になる脆弱性が存在
  することが、開発元より発表されました。本脆弱性は危険度が高いため、該
  当するバージョンのEximを利用しているユーザーは、バージョンアップや設
  定変更など、適切な対応を取ることを強く推奨します。

▼詳細

  DomainKeys Identified Mail（DKIM）はRFC 6376で定義される、電子メール
  においてドメイン名レベルでの認証機能を実現するためのしくみの一つです。
  検証には公開鍵暗号技術が使用され、送信側のドメイン名を管理する権威
  DNSサーバーにおいてTXTレコードで鍵情報を事前公開し、受信側での電子メー
  ル受信時に当該レコードを検索することにより、鍵情報を入手します。

  Eximは、メール転送エージェント（MTA）と呼ばれるプログラムの一つです。
  MTAとして広く使われているSendmailやPostfixなどと同様、オープンソース
  で開発されており、無償で入手・使用できます。また、EximはLinuxのディ
  ストリビューションの一つであるDebian GNU/Linuxにおいて、標準のMTAと
  して採用されています。

  Eximでは、バージョン4.70からDKIMによる認証機能がサポートされており、
  標準で有効に設定されています。しかし、バージョン4.70～4.80のDKIMの実
  装には、鍵情報を格納するTXTレコードの処理に実装上の不具合があります。

  これにより、攻撃者が自らの制御下にあるドメイン名において特別に細工し
  たTXTレコードを準備し、攻撃対象のメールサーバーに電子メールを送りつ
  けることで当該TXTレコードを検索させ、バッファオーバーフローを発生さ
  せることが可能になります。結果として、当該メールサーバーにおいて攻撃
  者が準備した任意のコードが実行可能になる可能性があります（攻撃成立の
  可能性はOSの種類、バージョンなどに依存します）。

  本脆弱性については、以下の脆弱性情報（*1）も併せてご参照ください。

  （*1）CVE - CVE-2012-5671
        <https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-5671>

▼一時的な回避策

  Eximの受信におけるアクセス制御リスト（RCPT ACL）に以下の設定を追加す
  ることでDKIMによる検証機能を無効にすることにより、本脆弱性を一時的に
  回避できます。

    warn control = dkim_disable_verify

▼解決策

  Exim 4.80.1へのバージョンアップ、または各ディストリビューションベン
  ダなどからリリースされるアップデートの適用が必要となります。

▼参考リンク

  以下に、Eximの開発元からの情報、及びEximを標準MTAとして採用している
  Debian GNU/Linuxに関する情報へのリンクを記載します。また、各ディスト
  リビューションベンダからの情報やCVEの情報（*1）等もご確認の上、適切
  な対応をお願いいたします。

    [exim-announce] Exim 4.80.1 Security Release
    <https://lists.exim.org/lurker/message/20121026.080330.74b9147b.nl.html>

    Debian -- セキュリティ情報 -- DSA-2566-1 exim4
    <http://www.debian.org/security/2012/dsa-2566>

▼連絡先

  本文書に関するお問い合わせは <dnstech-info@jprs.jp> までご連絡ください。

---------------------------------------------------------------------
▼更新履歴
  2012-11-01 10:00 初版作成