2017 年使用 procmail 安全吗？

Question

我刚刚发现 procmail 网站 ( http://www.procmail.org/ ) 已关闭。我对它的状态做了一些研究，似乎 procmail 的开发自 2001 年以来就已经死了。即使是旧的 procmail 维护者也建议将它从 openbsd 端口中删除，因为代码不安全（https://marc.info/? l=openbsd-ports&m=141634350915839&w=2）。这有点吓人，因为未修复的错误可能会导致远程代码执行漏洞。最近的 Linux 发行版（例如 Ubuntu、Debian）仍然提供它，但是使用 procmail 仍然安全吗？

Answer 1

Procmail 已经有一段时间没有维护是正确的，它的最后维护者建议使用诸如 Maildrop 或 Sieve 之类的替代工具。

许多发行版并未将此视为真正的安全风险的原因包括：

• 无论原始软件的实际开发者是谁，发行版都可以发布自己的安全补丁。他们这样做。
• 它处理的邮件已经通过了整个 MTA，包括多项语法和内容检查以及垃圾邮件过滤。Procmail MDA 比较的标题中不太可能有任何可能触发漏洞的内容，以便决定将邮件放在哪里。
• Procmail 通常执行的任务相当简单。

所以，是和否。如果您对您的环境有任何顾虑，您确实有其他选择。