米Sendmailなどは6月15日，メール・サーバー・ソフト「sendmail」のバージョン8.13.6以前（8.13.6を含む）にセキュリティ・ホールが見つかったことを明らかにした。細工が施されたメールを送られるだけで，sendmailを異常終了させられる危険性がある。つまり，DoS（サービス妨害）攻撃を受ける恐れがある。
sendmailをMTA（Mail Transfer Agent）として使用している「Sendmail Switch」や「Sendmail Sentrion」といった商用製品も影響を受ける。対策は，同日公開された「sendmail 8.13.7」にバージョンアップすることなど。
sendmail 8.13.6以前には，MIMEメッセージの処理に関する不具合が見つかった。何重にも入れ子になっている（深いネスト構造を持つ）MIMEパートを含むメールを処理しようとすると，sendmailが稼働するマシン（サーバー）のメモリーを過剰に消費して，sendmailのプロセスが異常終了する可能性があるという。
Sendmailの情報によれば，常駐プロセス（デーモン）は異常終了しないので，メールの受信（中継）が停止することはないという。しかし，（1）システムの設定によっては，終了したプロセスが生成したcoreファイルによってディスク容量が圧迫される，（2）メッセージ配送のキュー処理が異常終了し，キュー内にある他のメッセージの配送処理が滞る---可能性があるという。
Sendmailでは，現時点ではこのセキュリティ・ホールを突く攻撃を確認していないものの，セキュリティ・ホールの存在が公表されたために，攻撃が発生する可能性が高まったとして，すぐに対策を施すよう
対策は，セキュリティ・ホールを修正したsendmail 8.13.7にバージョンアップすること。Sendmailでは同社商用製品用のパッチやフィルタリング・モジュールを公開している。また，sendmailを同梱するOSのベンダーからは，sendmailのアップデートが公開されることが予想されるので，公開され次第適用したい。
すぐにバージョンアップできない環境では，（1）sendmailのcoreダンプを無効にする，（2）「ForkEachJob」オプションを有効にする---といった回避策をSendmailでは勧めている。これらの詳細については，同社が公開するアドバイザリの「ワークアラウンド」の項を参照してほしい。
◎参考資料
◆Sendmail 8.13.7（米Sendmail）
◆JVNVU#146718：SendmailにおけるマルチパートMIMEメッセージ処理に関する脆弱性（JP Vendor Status Notes）
◆Deeply nested malformed MIME denial of service attack（米Sendmail）
◆Deeply nested Malformed MIME denial of service attack（深いネスト構造を持つ不正なMIMEメッセージによるサービス妨害攻撃）（センドメール）
◆sendmailの脆弱性に関する注意喚起（JPCERTコーディネーションセンター）
◆Vulnerability Note VU#146718 Sendmail fails to handle malformed multipart MIME messages（米US-CERT）
