[Exim 4] Untrusted users koennen Sender setzten

[Simon Brandmair <simipinguin@onlinehome.de>]

Seid gegruesst!

Ich habe eine Problem mit exim (4.30-4). Entweder ich mach da einen
Denkfehler, oder es gibt in exim eine Sicherheitsluecke in Bezug auf das
Setzten des Senders durch die user.

Aus meiner conf.d/main/02_exim4-config_options:
	trusted_users = uucp
	trusted_groups = Debian-exim
	untrusted_set_sender = ^$sender_ident-

Wenn ich nun als user mache:
	$ /usr/sbin/exim4 -f'foo@localhost' -t
	Subject: trusted
	To: postmaster@rosa.luebb24 ^D
Dann bekommt postmaster eine Mail, in der der Sernder nicht auf
foo@localhost gestellt ist, sondern exim holt sich den sender aus
/etc/email-addresses. Genau so soll es sein, der user ist ja auch kein
trusted user. So weit, so gut.

Nun dasselbe Spiel mit Balsa. Damit einfach eine Mail an
postmaster@rosa.luebb24 schreiben, als Absender wieder foo@localhost
eintragen. Und siehe da, postmaster bekommt eine Mail von foo@localhost.
Ich kann also mit Balsa jeden beliebigen Sender setzten, *ohne* dass ich
trusted user bin. Das sollte aber nicht funktionieren, oder?

Fragt sich
Simon