远程 MagicLinux 3 主机上存在安装的程序包该程序包受到 AXSA:2011-150:02 公告中提及的多个漏洞的影响。

    Postfix 是邮件传输代理 (MTA)支持 LDAP、SMTP AUTH (SASL)、TLS 此版本修复了安全问题
    CVE-2008-2937 [] 之前的 Postfix 2.52.5.4 和 2.6 之前的 2.6-20080814 后缀即使邮箱文件不为收件人所有这也允许本地用户通过创建与另一个用户的帐户对应的邮箱文件来读取电子邮件消息名称。
    CVE-2011-0411 在低于 [] 的 Postfix 2.4.x2.4.16、低于 2.5.12[] 的 Postfix  2.5.x 、低于 2.6.9的Postfix 2.6.x ] 和低于 2.7.x 的 Postfix 2.7.3 中STARTTLS 实现未正确限制 I/O 缓冲这允许中间人攻击者通过发送在 TLS 就绪后处理的明文命令向加密的 SMTP 会话插入命令与“明文命令注入”攻击相关。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

发现为 SMTP 会话切换到 TLS 加密之后，Postfix 不刷新收到的 SMTP 命令。
中间人攻击者可利用此缺陷，在纯文本阶段将 SMTP 命令注入受害者的会话中。这可能导致启用 TLS 加密后 Postfix 处理这些命令，所以攻击者可能可以窃取受害者的邮件或认证凭据。(CVE-2011-0411)

已发现 Postfix 未正确检查用户的邮箱文件的权限。如果本地攻击者可在 mail spool 目录中创建文件，则可利用此缺陷为其他本地用户创建邮箱文件，并且可以阅读投递给这些用户的邮件。
(CVE-2008-2937)

安装此更新后，postfix 服务将自动重新启动。

来自 Red Hat 安全公告 2011:0422：

更新后的 postfix 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 4 和 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Postfix 是一款支持 LDAP、SMTP AUTH (SASL) 和 TLS 的邮件传输代理 (MTA)。

发现为 SMTP 会话切换到 TLS 加密之后，Postfix 不刷新收到的 SMTP 命令。
中间人攻击者可利用此缺陷，在纯文本阶段将 SMTP 命令注入受害者的会话中。这可能导致启用 TLS 加密后 Postfix 处理这些命令，所以攻击者可能可以窃取受害者的邮件或认证凭据。(CVE-2011-0411)

已发现 Postfix 未正确检查用户的邮箱文件的权限。如果本地攻击者可在 mail spool 目录中创建文件，则可利用此缺陷为其他本地用户创建邮箱文件，并且可以阅读投递给这些用户的邮件。
(CVE-2008-2937)

Red Hat 在此感谢 CERT/CC 报告 CVE-2011-0411，感谢 SuSE 安全团队的 Sebastian Krahmer 报告 CVE-2008-2937。CERT/CC 感谢 CVE-2011-0411 的原始报告者 Wietse Venema。

建议 Postfix 用户升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。安装此更新后，postfix 服务将自动重新启动。

更新后的 postfix 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 4 和 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Postfix 是一款支持 LDAP、SMTP AUTH (SASL) 和 TLS 的邮件传输代理 (MTA)。

发现为 SMTP 会话切换到 TLS 加密之后，Postfix 不刷新收到的 SMTP 命令缓冲区。
中间人攻击者可利用此缺陷，在纯文本阶段将 SMTP 命令注入受害者的会话中。这可能导致启用 TLS 加密后 Postfix 处理这些命令，所以攻击者可能可以窃取受害者的邮件或认证凭据。(CVE-2011-0411)

已发现 Postfix 未正确检查用户的邮箱文件的权限。如果本地攻击者可在邮件池目录中创建文件，则可利用此缺陷为其他本地用户创建邮箱文件，并且可以阅读投递给这些用户的邮件。
(CVE-2008-2937)

Red Hat 在此感谢 CERT/CC 报告 CVE-2011-0411，感谢 SuSE 安全团队的 Sebastian Krahmer 报告 CVE-2008-2937。CERT/CC 感谢 CVE-2011-0411 的原始报告者 Wietse Venema。

建议 Postfix 用户升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。安装此更新后，postfix 服务将自动重新启动。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
283928	MagicLinux 3postfix-2.3.3-2.10.AXS3 (AXSA:2011-150:02)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	critical
61010	Scientific Linux 安全更新：SL4.x、SL5.x i386/x86_64 中的 postfix	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
68248	Oracle Linux 4 / 5：后缀 (ELSA-2011-0422)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical
53310	RHEL 4 / 5：postfix (RHSA-2011:0422)	Nessus	Red Hat Local Security Checks	2011/4/7	2024/4/27	critical
53338	CentOS 4/5：postfix (CESA-2011:0422)	Nessus	CentOS Local Security Checks	2011/4/11	2021/1/4	medium

检测

插件搜索

critical

medium

critical

critical

medium