Разкрития относно критична уязвимост в Exim

Публикувано коригиращ релиз Exim 4.92.2 с отстраняване на критичната уязвимости (CVE-2019-15846), която в конфигурацията по подразбиране може да доведе до отдалечено изпълнение на код от хакера с права root. Проблемът се проявява само при включена поддръжка на TLS и се експлоатира чрез предаване на специално оформен клиентски сертификат или модифицирано значение в SNI. Уязвимостта открита е от компанията Qualys.

Проблема присъства в обработчика на екраниране на специални символи в низ (string_interpret_escape() от string.c) и е причинена от факта, че символът ‘\’ в края на низа се интерпретира преди нулевия символ (‘\0’) и го екранира. При екранирането последователността ‘\’ и следващия нулев код на края на низа се обработват като един символ и указателят се измества на данни извън границите на низа, които се интерпретират като негово продължение.

Кодът, който вика string_interpret_escape(), заделя буфер за стока, ръководейки се от действителния размер, и поставеният указател се оказва в зона извън границите на буфера. Съответно, при опит за обработка на входния низ възниква ситуация на четене на данни от зона извън границите на заделения буфер, а опитът за запис на разекрания низ може да доведе до запис извън буфера.

В конфигурацията по подразбиране уязвимостта може да бъде експлоатирана чрез предаване на специално оформени данни в SNI при установяване на защитено свързване с сървъра. Проблемът също така може да бъде експлоатиран чрез модификация на стойностите peerdn в конфигурации, настроени за удостоверяване по клиентски сертификат, или при импортиране на сертификати. Атаката чрез SNI и peerdn е възможна от версия Exim 4.80, в която функцията string_unprinting() е използвана за разекраниране на съдържанието peerdn и SNI.

За атака чрез SNI е подготвен прототип на експлоита, работещ на архитектурите i386 и amd64 в Linux системи с Glibc. В експлоита се използва наливане на данни върху област от купчината, което води до презаписване на паметта, в която се съхранява името на файла за лог. Името на файла се заменя с «/..../..../..../..../..../..../..../..../etc/passwd». Освен това се презаписва променливата с адреса на подателя, който първоначално се записва в лога, позволявайки добавяне на нов потребител в системата.

Издания на пакети с отстранени уязвимости са публикувани от разпространителите Debian, Ubuntu, Fedora, SUSE/openSUSE и FreeBSD. RHEL и CentOS проблем не са засегнати, тъй като Exim не е включен в техния основен репозиторий (в EPEL актуализация вече са създадени, но все още не е публикувано в публичния репозиторий). Проблемът в кода на Exim се отстранява с единичен патч, който деактивира екранирането на обратния наклон, ако е в края на реда.

Като обходен маршрут за блокиране на уязвимостта, можете да деактивирате поддръжката на TLS или да добавите в
секцията ACL «acl_smtp_mail»:

deny condition = ${if eq{\\}{${substr{-1}{1}{$tls_in_sni}}}}
deny condition = ${if eq{\\}{${substr{-1}{1}{$tls_in_peerdn}}}}

Източник: opennet.ru