カテゴリー: Squirrelmail

毎日のportsのcvsupでpkg_versionが、

squirrelmail-1.4.11 < needs updating (port has 1.4.13)

と知らせてくれました。マイナーバージョンが11から13に一気に上がってます。
いつものようにportupgradeして、日本語パッチをここから落としてきて当てて、と作業をしようとしてる途中で

SECURITY:
SquirrelMail 1.4.12 Package Compromise
SquirrelMail 1.4.13 Released 非常に危険な脆弱性修正
SquirrelMail 1.4.11と1.4.12に何があったのか

を知りました。1.4.11と1.4.12のコードが何者かに改ざんされていたので急遽1.4.13のリリースとなったらしいです。
問題のコードが私のサーバーのSquirrelmailには入っていなかったのでセーフでしたが、ともあれアップデートは済ませておきました。

Squirrelmail 1.4.8 からupdateする。

portsを使っているので portupgrade squirrelmail でOK。
その後、日本語向けのパッチを当てる。

Squirrelmailでヘッダの発信元を隠すように細工。
変更箇所は一箇所。同じサーバーのプロキシ経由での発信に見える、はず。

# cd /usr/local/www/squirrelmail/class/deliver
# diff Deliver.class.php.org Deliver.class.php
400,405c400,406
<              if (isset($encode_header_key) && trim($encode_header_key)!='') {
<             // use encrypted form of remote address
<             $message_id.= OneTimePadEncrypt($this->ip2hex($REMOTE_ADDR),base64_encode($encode_header_key));
<         } else {
<             $message_id.= $REMOTE_ADDR;
<         }
---
> //        if (isset($encode_header_key) && trim($encode_header_key)!='') {
> //            // use encrypted form of remote address
> //            $message_id.= OneTimePadEncrypt($this->ip2hex($REMOTE_ADDR),base64_encode($encode_header_key));
> //        } else {
> //            $message_id.= $REMOTE_ADDR;
> //        }
>         $message_id.= 'ほげほげ(IPアドレス)';
418a420
>         $received_from = "ほげほげ(IPアドレス)";

これで発信したメールヘッダはこんな感じになります。

Received: from www.ほげほげドメイン (localhost.ほげほげドメイン [127.0.0.1])
by ほげほげドメイン (Postfix)
with ESMTP id 50F9B5066FF for < 宛先メールアドレス>;
Thu, 21 Dec 2006 13:47:53 +0900 (JST)
Received: from ほげほげ(IPアドレス) (SquirrelMail authenticated user hogehoge)
by ほげほげドメイン
with HTTP;
Thu, 21 Dec 2006 13:47:53 +0900 (JST)
Message-ID: <2933.ほげほげ(IPアドレス).1166676473.squirrel@www.ほげほげドメイン>