Π‘ΡΠ²ΡΠ΅ΠΌ Π½Π°ΡΠΊΠΎΡΠΎ, Π² Π½Π°ΡΠ°Π»ΠΎΡΠΎ Π½Π° Π»ΡΡΠΎΡΠΎ, ΠΈΠΌΠ°ΡΠ΅ ΡΠΈΡΠΎΠΊΠΎ ΡΠ°Π·ΠΏΡΠΎΡΡΡΠ°Π½Π΅Π½ΠΈ ΠΏΡΠΈΠ·ΠΈΠ²ΠΈ Exim Π΄Π° Π±ΡΠ΄Π΅ Π°ΠΊΡΡΠ°Π»ΠΈΠ·ΠΈΡΠ°Π½ Π΄ΠΎ Π²Π΅ΡΡΠΈΡ 4.92 ΠΏΠΎΡΠ°Π΄ΠΈ ΡΡΠ·Π²ΠΈΠΌΠΎΡΡΡΠ° CVE-2019-10149 (
Π‘Π΅Π³Π° Π²ΡΠΈΡΠΊΠΈ ΠΎΠ½Π΅Π·ΠΈ, ΠΊΠΎΠΈΡΠΎ ΡΠΏΠ΅ΡΠ½ΠΎ Π°ΠΊΡΡΠ°Π»ΠΈΠ·ΠΈΡΠ°Ρ
Π°, ΠΌΠΎΠ³Π°Ρ Π΄Π° ΡΠ΅ βΡΠ°Π΄Π²Π°Ρβ ΠΎΡΠ½ΠΎΠ²ΠΎ: Π½Π° 21 ΡΠ»ΠΈ 2019 Π³. ΠΈΠ·ΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»ΡΡ Zerons ΠΎΡΠΊΡΠΈ ΠΊΡΠΈΡΠΈΡΠ½Π° ΡΡΠ·Π²ΠΈΠΌΠΎΡΡ Π² Exim Mail Transfer agent (MTA) ΠΏΡΠΈ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° TLS Π·Π° Π²Π΅ΡΡΠΈΠΈ ΠΎΡ 4.80 4.92.1 Π½Π°Π³ΠΎΡΠ΅ Π²ΠΊΠ»ΡΡΠΈΡΠ΅Π»Π½ΠΎ, ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ²Π°Ρ Π΄ΠΈΡΡΠ°Π½ΡΠΈΠΎΠ½Π½ΠΎ ΠΈΠ·ΠΏΡΠ»Π½ΡΠ²Π° ΠΊΠΎΠ΄ Ρ ΠΏΡΠΈΠ²ΠΈΠ»Π΅Π³ΠΈΡΠΎΠ²Π°Π½ΠΈ ΠΏΡΠ°Π²Π° (
Π£ΡΠ·Π²ΠΈΠΌΠΎΡΡ
Π£ΡΠ·Π²ΠΈΠΌΠΎΡΡΡΠ° Π΅ Π½Π°Π»ΠΈΡΠ΅ ΠΏΡΠΈ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠΈΡΠ΅ GnuTLS ΠΈ OpenSSL ΠΏΡΠΈ ΡΡΡΠ°Π½ΠΎΠ²ΡΠ²Π°Π½Π΅ Π½Π° Π·Π°ΡΠΈΡΠ΅Π½Π° TLS Π²ΡΡΠ·ΠΊΠ°.
Π‘ΠΏΠΎΡΠ΅Π΄ ΡΠ°Π·ΡΠ°Π±ΠΎΡΡΠΈΠΊΠ° Heiko Schlittermann, ΠΊΠΎΠ½ΡΠΈΠ³ΡΡΠ°ΡΠΈΠΎΠ½Π½ΠΈΡΡ ΡΠ°ΠΉΠ» Π² Exim Π½Π΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π° TLS ΠΏΠΎ ΠΏΠΎΠ΄ΡΠ°Π·Π±ΠΈΡΠ°Π½Π΅, Π½ΠΎ ΠΌΠ½ΠΎΠ³ΠΎ Π΄ΠΈΡΡΡΠΈΠ±ΡΡΠΈΠΈ ΡΡΠ·Π΄Π°Π²Π°Ρ Π½Π΅ΠΎΠ±Ρ ΠΎΠ΄ΠΈΠΌΠΈΡΠ΅ ΡΠ΅ΡΡΠΈΡΠΈΠΊΠ°ΡΠΈ ΠΏΠΎ Π²ΡΠ΅ΠΌΠ΅ Π½Π° ΠΈΠ½ΡΡΠ°Π»Π°ΡΠΈΡΡΠ° ΠΈ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ²Π°Ρ Π·Π°ΡΠΈΡΠ΅Π½Π° Π²ΡΡΠ·ΠΊΠ°. Π‘ΡΡΠΎ ΡΠ°ΠΊΠ° ΠΏΠΎ-Π½ΠΎΠ²ΠΈΡΠ΅ Π²Π΅ΡΡΠΈΠΈ Π½Π° Exim ΠΈΠ½ΡΡΠ°Π»ΠΈΡΠ°Ρ ΠΎΠΏΡΠΈΡΡΠ° tls_advertise_hosts=* ΠΈ Π³Π΅Π½Π΅ΡΠΈΡΠ°Π½Π΅ Π½Π° Π½Π΅ΠΎΠ±Ρ ΠΎΠ΄ΠΈΠΌΠΈΡΠ΅ ΡΠ΅ΡΡΠΈΡΠΈΠΊΠ°ΡΠΈ.
Π·Π°Π²ΠΈΡΠΈ ΠΎΡ ΠΊΠΎΠ½ΡΠΈΠ³ΡΡΠ°ΡΠΈΡΡΠ°. ΠΠΎΠ²Π΅ΡΠ΅ΡΠΎ Π΄ΠΈΡΡΡΠΈΠ±ΡΡΠΈΠΈ Π³ΠΎ Π°ΠΊΡΠΈΠ²ΠΈΡΠ°Ρ ΠΏΠΎ ΠΏΠΎΠ΄ΡΠ°Π·Π±ΠΈΡΠ°Π½Π΅, Π½ΠΎ Exim ΡΠ΅ Π½ΡΠΆΠ΄Π°Π΅ ΠΎΡ ΡΠ΅ΡΡΠΈΡΠΈΠΊΠ°Ρ+ΠΊΠ»ΡΡ, Π·Π° Π΄Π° ΡΠ°Π±ΠΎΡΠΈ ΠΊΠ°ΡΠΎ TLS ΡΡΡΠ²ΡΡ. ΠΠ΅ΡΠΎΡΡΠ½ΠΎ Π΄ΠΈΡΡΡΠΈΠ±ΡΡΠΎΡΠΈΡΠ΅ ΡΡΠ·Π΄Π°Π²Π°Ρ ΡΠ΅ΡΡΠΈΡΠΈΠΊΠ°Ρ ΠΏΠΎ Π²ΡΠ΅ΠΌΠ΅ Π½Π° Π½Π°ΡΡΡΠΎΠΉΠΊΠ°ΡΠ°. ΠΠΎ-Π½ΠΎΠ²ΠΈΡΠ΅ Exims ΠΈΠΌΠ°Ρ ΠΎΠΏΡΠΈΡΡΠ° tls_advertise_hosts ΠΏΠΎ ΠΏΠΎΠ΄ΡΠ°Π·Π±ΠΈΡΠ°Π½Π΅ Π½Π° "*" ΠΈ ΡΡΠ·Π΄Π°Π²Π°Ρ ΡΠ°ΠΌΠΎΠΏΠΎΠ΄ΠΏΠΈΡΠ°Π½ ΡΠ΅ΡΡΠΈΡΠΈΠΊΠ°Ρ, Π°ΠΊΠΎ Π½Π΅ Π΅ ΠΏΡΠ΅Π΄ΠΎΡΡΠ°Π²Π΅Π½ ΡΠ°ΠΊΡΠ².
Π‘Π°ΠΌΠ°ΡΠ° ΡΡΠ·Π²ΠΈΠΌΠΎΡΡ ΡΠ΅ ΠΊΡΠΈΠ΅ Π² Π½Π΅ΠΏΡΠ°Π²ΠΈΠ»Π½Π° ΠΎΠ±ΡΠ°Π±ΠΎΡΠΊΠ° Π½Π° SNI (ΠΈΠ½Π΄ΠΈΠΊΠ°ΡΠΈΡ Π·Π° ΠΈΠΌΠ΅ Π½Π° ΡΡΡΠ²ΡΡ, ΡΠ΅Ρ
Π½ΠΎΠ»ΠΎΠ³ΠΈΡ, Π²ΡΠ²Π΅Π΄Π΅Π½Π° ΠΏΡΠ΅Π· 2003 Π³. Π² RFC 3546 Π·Π° ΠΊΠ»ΠΈΠ΅Π½Ρ Π΄Π° ΠΏΠΎΠΈΡΠΊΠ° ΠΏΡΠ°Π²ΠΈΠ»Π½ΠΈΡ ΡΠ΅ΡΡΠΈΡΠΈΠΊΠ°Ρ Π·Π° ΠΈΠΌΠ΅ Π½Π° Π΄ΠΎΠΌΠ΅ΠΉΠ½,
ΠΠ·ΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»ΠΈ ΠΎΡ Qualys ΡΠ° ΠΎΡΠΊΡΠΈΠ»ΠΈ Π³ΡΠ΅ΡΠΊΠ° Π²ΡΠ² ΡΡΠ½ΠΊΡΠΈΡΡΠ° string_printing(tls_in.sni), ΠΊΠΎΡΡΠΎ Π²ΠΊΠ»ΡΡΠ²Π° Π½Π΅ΠΏΡΠ°Π²ΠΈΠ»Π½ΠΎ Π΅ΠΊΡΠ°Π½ΠΈΡΠ°Π½Π΅ Π½Π° ββ. Π ΡΠ΅Π·ΡΠ»ΡΠ°Ρ Π½Π° ΡΠΎΠ²Π° ΠΎΠ±ΡΠ°ΡΠ½Π°ΡΠ° Π½Π°ΠΊΠ»ΠΎΠ½Π΅Π½Π° ΡΠ΅ΡΡΠ° ΡΠ΅ Π·Π°ΠΏΠΈΡΠ²Π° Π±Π΅Π· Π΅ΠΊΡΠ°Π½ΠΈΡΠ°Π½Π΅ Π² Π·Π°Π³Π»Π°Π²Π½ΠΈΡ ΡΠ°ΠΉΠ» Π½Π° ΡΠΏΡΠ»Π° Π·Π° ΠΏΠ΅ΡΠ°Ρ. Π‘Π»Π΅Π΄ ΡΠΎΠ²Π° ΡΠΎΠ·ΠΈ ΡΠ°ΠΉΠ» ΡΠ΅ ΡΠ΅ΡΠ΅ Ρ ΠΏΡΠΈΠ²ΠΈΠ»Π΅Π³ΠΈΡΠΎΠ²Π°Π½ΠΈ ΠΏΡΠ°Π²Π° ΠΎΡ ΡΡΠ½ΠΊΡΠΈΡΡΠ° spool_read_header(), ΠΊΠΎΠ΅ΡΠΎ Π²ΠΎΠ΄ΠΈ Π΄ΠΎ ΠΏΡΠ΅ΠΏΡΠ»Π²Π°Π½Π΅ Π½Π° ΠΊΡΠΏΡΠΈΠ½Π°.
ΠΠ°ΡΠ»ΡΠΆΠ°Π²Π° Π΄Π° ΡΠ΅ ΠΎΡΠ±Π΅Π»Π΅ΠΆΠΈ, ΡΠ΅ Π² ΠΌΠΎΠΌΠ΅Π½ΡΠ° ΡΠ°Π·ΡΠ°Π±ΠΎΡΡΠΈΡΠΈΡΠ΅ Π½Π° Exim ΡΠ° ΡΡΠ·Π΄Π°Π»ΠΈ PoC Π½Π° ΡΡΠ·Π²ΠΈΠΌΠΎΡΡΠΈ Ρ ΠΈΠ·ΠΏΡΠ»Π½Π΅Π½ΠΈΠ΅ Π½Π° ΠΊΠΎΠΌΠ°Π½Π΄ΠΈ Π½Π° ΠΎΡΠ΄Π°Π»Π΅ΡΠ΅Π½ ΡΡΠ·Π²ΠΈΠΌ ΡΡΡΠ²ΡΡ, Π½ΠΎ ΡΠΎΠΉ Π²ΡΠ΅ ΠΎΡΠ΅ Π½Π΅ Π΅ ΠΏΡΠ±Π»ΠΈΡΠ½ΠΎ Π΄ΠΎΡΡΡΠΏΠ΅Π½. ΠΠΎΡΠ°Π΄ΠΈ Π»Π΅ΠΊΠΎΡΠ°ΡΠ° Π½Π° Π΅ΠΊΡΠΏΠ»ΠΎΠ°ΡΠ°ΡΠΈΡ Π½Π° Π³ΡΠ΅ΡΠΊΠ°ΡΠ°, ΡΠΎΠ²Π° Π΅ ΡΠ°ΠΌΠΎ Π²ΡΠΏΡΠΎΡ Π½Π° Π²ΡΠ΅ΠΌΠ΅ ΠΈ ΡΠΎ Π΄ΠΎΡΡΠ° ΠΊΡΠ°ΡΠΊΠΎ.
ΠΠΎΠΆΠ΅ΡΠ΅ Π΄Π° Π½Π°ΠΌΠ΅ΡΠΈΡΠ΅ ΠΏΠΎ-ΠΏΠΎΠ΄ΡΠΎΠ±Π½ΠΎ ΠΏΡΠΎΡΡΠ²Π°Π½Π΅ Π½Π° Qualys
ΠΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° SNI Π² TLS
ΠΡΠΎΠΉ ΠΏΠΎΡΠ΅Π½ΡΠΈΠ°Π»Π½ΠΎ ΡΡΠ·Π²ΠΈΠΌΠΈ ΠΏΡΠ±Π»ΠΈΡΠ½ΠΈ ΡΡΡΠ²ΡΡΠΈ
Π‘ΠΏΠΎΡΠ΅Π΄ ΡΡΠ°ΡΠΈΡΡΠΈΠΊΠ° Π½Π° Π³ΠΎΠ»ΡΠΌ Ρ ΠΎΡΡΠΈΠ½Π³ Π΄ΠΎΡΡΠ°Π²ΡΠΈΠΊ E-Soft Inc ΠΎΡ 1 ΡΠ΅ΠΏΡΠ΅ΠΌΠ²ΡΠΈ Π½Π° Π½Π°Π΅ΡΠΈ ΡΡΡΠ²ΡΡΠΈ Π²Π΅ΡΡΠΈΡ 4.92 ΡΠ΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π° Π² ΠΏΠΎΠ²Π΅ΡΠ΅ ΠΎΡ 70% ΠΎΡ Ρ ΠΎΡΡΠΎΠ²Π΅ΡΠ΅.
Π²Π΅ΡΡΠΈΡ
ΠΡΠΎΠΉ ΡΡΡΠ²ΡΡΠΈ
Π½Π° ΡΡΠΎ
4.92.1
6471
1.28%
4.92
376436
74.22%
4.91
58179
11.47%
4.9
5732
1.13%
4.89
10700
2.11%
4.87
14177
2.80%
4.84
9937
1.96%
ΠΡΡΠ³ΠΈ Π²Π΅ΡΡΠΈΠΈ
25568
5.04%
Π€ΠΈΡΠΌΠ΅Π½Π° ΡΡΠ°ΡΠΈΡΡΠΈΠΊΠ° Π½Π° E-Soft Inc
ΠΠΊΠΎ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΡΠ΅ ΡΡΡΡΠ°ΡΠΊΠ°
- ΠΎΠΊΠΎΠ»ΠΎ 3,500,000 4.92 1,380,000 ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ Exim XNUMX (ΠΎΠΊΠΎΠ»ΠΎ XNUMX XNUMX XNUMX ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ SSL/TLS);
- Π½Π°Π΄ 74,000 4.92.1, ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΡΠΈ 25,000 (ΠΎΠΊΠΎΠ»ΠΎ XNUMX XNUMX, ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΡΠΈ SSL/TLS).
ΠΠΎ ΡΠΎΠ·ΠΈ Π½Π°ΡΠΈΠ½ ΠΎΠ±ΡΠΎΠΈΠ·Π²Π΅ΡΡΠ½ΠΈΡΠ΅ ΠΈ Π΄ΠΎΡΡΡΠΏΠ½ΠΈ Exim ΠΏΠΎΡΠ΅Π½ΡΠΈΠ°Π»Π½ΠΎ ΡΡΠ·Π²ΠΈΠΌΠΈ ΡΡΡΠ²ΡΡΠΈ Π½Π°Π±ΡΠΎΡΠ²Π°Ρ ΠΎΠΊΠΎΠ»ΠΎ 1.5 ΠΌΠΈΠ»ΠΈΠΎΠ½Π°.
ΠΠΎΡΡΡΡΠ΅ΡΠ΅ Exim ΡΡΡΠ²ΡΡΠΈ Π² Shodan
Π·Π°ΡΠΈΡΠ°
- ΠΠ°ΠΉ-ΠΏΡΠΎΡΡΠΈΡΡ, Π½ΠΎ Π½Π΅ΠΏΡΠ΅ΠΏΠΎΡΡΡΠΈΡΠ΅Π»Π΅Π½ Π²Π°ΡΠΈΠ°Π½Ρ Π΅ Π΄Π° Π½Π΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΡΠ΅ TLS, ΠΊΠΎΠ΅ΡΠΎ ΡΠ΅ Π΄ΠΎΠ²Π΅Π΄Π΅ Π΄ΠΎ ΠΏΡΠ΅ΠΏΡΠ°ΡΠ°Π½Π΅ Π½Π° ΠΈΠΌΠ΅ΠΉΠ» ΡΡΠΎΠ±ΡΠ΅Π½ΠΈΡ Π² ΡΠΈΡΡ Π²ΠΈΠ΄.
- ΠΠ° Π΄Π° ΠΈΠ·Π±Π΅Π³Π½Π΅ΡΠ΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ΡΠΎ Π½Π° ΡΡΠ·Π²ΠΈΠΌΠΎΡΡΡΠ°, Π±ΠΈ Π±ΠΈΠ»ΠΎ ΠΏΠΎ-Π΄ΠΎΠ±ΡΠ΅ Π΄Π° Π°ΠΊΡΡΠ°Π»ΠΈΠ·ΠΈΡΠ°ΡΠ΅ Π΄ΠΎ Π²Π΅ΡΡΠΈΡΡΠ°
Exim Internet Mailer 4.92.2 . - ΠΠΊΠΎ Π΅ Π½Π΅Π²ΡΠ·ΠΌΠΎΠΆΠ½ΠΎ Π΄Π° Π°ΠΊΡΡΠ°Π»ΠΈΠ·ΠΈΡΠ°ΡΠ΅ ΠΈΠ»ΠΈ ΠΈΠ½ΡΡΠ°Π»ΠΈΡΠ°ΡΠ΅ Π²Π΅ΡΡΠΈΡ Ρ ΠΊΠΎΡΠ΅ΠΊΡΠΈΡ, ΠΌΠΎΠΆΠ΅ΡΠ΅ Π΄Π° Π·Π°Π΄Π°Π΄Π΅ΡΠ΅ ACL Π² ΠΊΠΎΠ½ΡΠΈΠ³ΡΡΠ°ΡΠΈΡΡΠ° Π½Π° Exim Π·Π° ΠΎΠΏΡΠΈΡΡΠ° acl_smtp_mail ΡΡΡ ΡΠ»Π΅Π΄Π½ΠΈΡΠ΅ ΠΏΡΠ°Π²ΠΈΠ»Π°:
# to be prepended to your mail acl (the ACL referenced # by the acl_smtp_mail main config option) deny condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}} deny condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}
ΠΠ·ΡΠΎΡΠ½ΠΈΠΊ: www.habr.com