[postfix-es] Duda de seguridad

[Hector]

He leído en las FAQ de la página Web 
(http://www.postfix.org/faq.html#worm) que se puede usar la sintaxis 
"|comando" en las direcciones de correo electrónico introducidas en el 
RCPT TO y en el MAIL FROM de un Postfix: ¿no es esto un problema de 
seguridad que tuvo también en tiempos Sendmail?

Igual es que no entiendo bien lo que comenta en la URL arriba indicada, 
pero parece que con esto se podría llegar a hacer que Postfix ejecutara 
programas con los privilegios del usuario bajo el que funciona el MTA, ¿no?:

--------------------------------------


      Postfix accepts MAIL FROM and RCPT TO "| command"

With Postfix, | or / has special meaning only when it appears in 
aliases, .forward files or in :include: files. It has no special meaning 
in mail addresses.

If you must receive mail for systems with 10-year old vulnerabilities, 
it is prudent to set up a regexp filter that rejects potentially harmful 
MAIL FROM or RCPT TO commands.

    /etc/postfix/main.cf:
        smtpd_sender_restrictions =
            regexp:/etc/postfix/envelope-regexp
            reject_unknown_sender_domain
        smtpd_recipient_restrictions =
            regexp:/etc/postfix/envelope-regexp
            permit_mynetworks
            reject_unauth_destination

    /etc/postfix/envelope-regexp:
        /[/|]/  REJECT

However, rejecting all envelope addresses with / causes trouble with 
simple-minded X.400 to Internet address mappings that leave the X.400 
address structure exposed.

See also the documentation on header checks 
<http://www.postfix.org/uce.html#header_checks> restrictions for message 
header contents. These restrictions can be used to protect against 
attacks with command/file destinations in, for example, Errors-To: or 
Return-Receipt_To: message headers.

--------------------------------------

-
Para ENVIAR mensajes a esta lista tienes que estar SUSCRITO a ella.
.
Envía la linea "unsubscribe postfix-es" en el cuerpo de un mensaje
a majordomo en WL0.org para quitarte de la lista.