Актуализация на Exim 4.94.2 с отстраняване на 10 отдалечено експлоатируеми уязвимости

Публикувано издание на пощенския сървър Exim 4.94.2 с коригиране на 21 уязвимост (CVE-2020-28007-CVE-2020-28026, CVE-2021-27216), които са открити от компанията Qualys и са представени под кодовото име 21Nails. 10 от проблемите могат да бъдат експлоатирани отдалечено (включително за изпълнение на код с права на root), посредством манипулации с SMTP команди при взаимодействие със сървъра.

Уязвими са всички версии на Exim, чиято история е проследяема в Git от 2004 г. За 4 локални уязвимости и 3 отдалечени проблема са подготвени работни прототипи на експлойти. Експлойтите за локалните уязвимости (CVE-2020-28007, CVE-2020-28008, CVE-2020-28015, CVE-2020-28012) позволяват повишаване на привилегиите до потребител root. Две отдалечени проблеми (CVE-2020-28020, CVE-2020-28018) позволяват изпълнение на код с права на потребителя exim без аутентификация (след което може да се получи root достъп, експлоатирайки една от локалните уязвимости).

Уязвимостта CVE-2020-28021 позволява дистанционно да се изпълни код с права root, но изисква удостоверен достъп (потребителят трябва да установи удостоверена сесия, след което може да експлоатира уязвимостта чрез манипулации с параметъра AUTH в командата MAIL FROM). Проблемът е, че атакуващият може да постигне подмяна на стринг в заглавката на spool файла поради записване на стойността authenticated_sender без подходящо екраниране на специални символи (например, предавайки командата "MAIL FROM:& AUTH=Raven+0AReyes").

Допълнително се отбелязва, че друга дистанционна уязвимост CVE-2020-28017 може да се експлоатира за изпълнение на код с потребителски права „exim“ без удостоверяване, но изисква наличие на над 25 GB памет. За останалите 13 уязвимости потенциално също могат да бъдат подготвени експлойти, но работа в тази насока все още не е извършвана.

Разработчиците на Exim бяха уведомени за проблемите още през октомври миналата година и прекараха над 6 месеца в разработка на поправки. На всички администратори е препоръчано спешно да обновят Exim на своите пощенски сървъри. сървъри до версия 4.94.2. Всички версии на Exim преди изданието 4.94.2 са обявени за остарели (obsolete). Публикацията на новата версия бе координирана с дистрибуции, които одновременно публикуваха актуализации на пакетите: Ubuntu, Arch Linux, FreeBSD, Debian, SUSE и Fedora. RHEL и CentOS не са засегнати от проблема, тъй като Exim не е част от техния основен пакетен репозиториум (в EPEL актуализацията все още липсва).

Отдалечени уязвимости:

• CVE-2020-28017: Цяло числено преливане в функцията receive_add_recipient();
• CVE-2020-28020: Цяло числено преливане в функцията receive_msg();
• CVE-2020-28023: Четене извън разрешената област в функцията smtp_setup_msg();
• CVE-2020-28021: Вмъкване на нов ред в заглавието на спул-файла;
• CVE-2020-28022: Запис и четене извън разрешената област в функцията extract_option();
• CVE-2020-28026: Отрязване и вмъкване на низ в функцията spool_read_header();
• CVE-2020-28019: Срив при нулиране на указателя към функцията след възникване на грешка BDAT;
• CVE-2020-28024: Преливане в долната граница на буфера в функцията smtp_ungetc();
• CVE-2020-28018: Достъп до буфер след освобождаването му (use-after-free) в tls-openssl.c
• CVE-2020-28025: Четене извън разрешената област в функцията pdkim_finish_bodyhash().

Локални уязвимости:

• CVE-2020-28007: Атака чрез символичен линк в каталога с логовете на Exim;
• CVE-2020-28008: Атаки върху каталога за спул;
• CVE-2020-28014: Създаване на произволен файл;
• CVE-2021-27216: Изтриване на произволен файл;
• CVE-2020-28011: Преливане на буфера в функцията queue_run();
• CVE-2020-28010: Запис извън границите на буфера в функцията main();
• CVE-2020-28013: Преливане на буфера в функцията parse_fix_phrase();
• CVE-2020-28016: Запис извън границите на буфера в функцията parse_fix_phrase();
• CVE-2020-28015: Вмъкване на нов ред в заглавието на спул-файла;
• CVE-2020-28012: Липса на флага close-on-exec за привилегирован неименуван канал;
• CVE-2020-28009: Цялостно числено преливане в функцията get_stdinput().

Източник: opennet.ru