毎日のportsのcvsupでpkg_versionが、

squirrelmail-1.4.11 < needs updating (port has 1.4.13)

と知らせてくれました。マイナーバージョンが11から13に一気に上がってます。
いつものようにportupgradeして、日本語パッチをここから落としてきて当てて、と作業をしようとしてる途中で

SECURITY:
SquirrelMail 1.4.12 Package Compromise
SquirrelMail 1.4.13 Released 非常に危険な脆弱性修正
SquirrelMail 1.4.11と1.4.12に何があったのか

を知りました。1.4.11と1.4.12のコードが何者かに改ざんされていたので急遽1.4.13のリリースとなったらしいです。
問題のコードが私のサーバーのSquirrelmailには入っていなかったのでセーフでしたが、ともあれアップデートは済ませておきました。

Squirrelmail 1.4.8 からupdateする。

portsを使っているので portupgrade squirrelmail でOK。
その後、日本語向けのパッチを当てる。

Squirrelmailでヘッダの発信元を隠すように細工。
変更箇所は一箇所。同じサーバーのプロキシ経由での発信に見える、はず。

[code]
# cd /usr/local/www/squirrelmail/class/deliver
# diff Deliver.class.php.org Deliver.class.php
400,405c400,406
< if (isset($encode_header_key) && trim($encode_header_key)!='') {
< // use encrypted form of remote address
< $message_id.= OneTimePadEncrypt($this->ip2hex($REMOTE_ADDR),base64_encode($encode_header_key));
< } else {
< $message_id.= $REMOTE_ADDR;
< }
---
> // if (isset($encode_header_key) && trim($encode_header_key)!='') {
> // // use encrypted form of remote address
> // $message_id.= OneTimePadEncrypt($this->ip2hex($REMOTE_ADDR),base64_encode($encode_header_key));
> // } else {
> // $message_id.= $REMOTE_ADDR;
> // }
> $message_id.= 'ほげほげ(IPアドレス)';
418a420
> $received_from = "ほげほげ(IPアドレス)";
[/code]
これで発信したメールヘッダはこんな感じになります。
[code]
Received: from www.ほげほげドメイン (localhost.ほげほげドメイン [127.0.0.1])
by ほげほげドメイン (Postfix)
with ESMTP id 50F9B5066FF for < 宛先メールアドレス>;
Thu, 21 Dec 2006 13:47:53 +0900 (JST)
Received: from ほげほげ(IPアドレス) (SquirrelMail authenticated user hogehoge)
by ほげほげドメイン
with HTTP;
Thu, 21 Dec 2006 13:47:53 +0900 (JST)
Message-ID: &lt;2933.ほげほげ(IPアドレス).1166676473.squirrel@www.ほげほげドメイン>
[/code]