Уязвимост в OpenSMTPD, позволяваща отдалечено изпълнение на код с права root

В развиваємому проекті OpenBSD поштовому сервері OpenSMTPD открита е критична уязвимост (CVE-2020-7247), която позволява отдалечено изпълнение на shell команди на сървъра с правата на потребителя root. Уязвимостта е разкрита по време на повторен одит, проведен от компанията Qualys Security (предишният одит на OpenSMTPD се проведе през 2015 година, а новата уязвимост е налична от май 2018 година). Проблемът е отстранена в изданието OpenSMTPD 6.6.2. На всички потребители се препоръчва незабавно да инсталират актуализация (за OpenBSD поправката може да бъде инсталирана чрез syspatch).

Предложени са два варианта на атака. Първият вариант работи в конфигурацията по подразбиране на OpenSMTPD (приемане на заявки само от localhost) и позволява експлоатация на проблема локално, когато атакуващият има възможност да се обърне към локалния мрежов интерфейс (loopback) на сървера (например, на хостинг системи). Вторият вариант се проявява, когато OpenSMTPD е настроен за приемане на външни мрежови заявки (пощенски сървър, който приема поща от трети страни). Изследователите са подготвили прототип на експлоита, който успешно работи както с варианта OpenSMTPD от OpenBSD 6.6, така и с преносимата версия за други операционни системи (тестувано в Debian Testing).

Проблемът е причинен от грешка в функцията smtp_mailaddr(), която се извиква за проверка на коректността на стойностите в полетата «MAIL FROM» и «RCPT TO», определящи изпращача/получателя и предаваните по време на връзката с пощенския сървър. За проверка на частта от пощенския адрес, преди символа «@», в smtp_mailaddr() се извиква функцията
valid_localpart(), която счита допустими (MAILADDR_ALLOWED) символи «!#$%&’*?^`{|}~+-=_», в съответствие с изискванията на RFC 5322.

При това непосредственото ескейпиране на строката се извършва в функцията mda_expand_token(), която заменя само символи «!#$%&’*?`{|}~» (MAILADDR_ESCAPE). Впоследствие подготвената в mda_expand_token() стринг се използва при извикване на агента за доставка (MDA) чрез командата 'execle("/bin/sh", "/bin/sh", "-c", mda_command,…'. В случай на вмъкване на писмо в mbox чрез /bin/sh се стартира строката «/usr/libexec/mail.local -f %%{mbox.from} %%{user.username}», където стойността «%{mbox.from}» включва ескейпирани данни от параметъра «MAIL FROM».

Същността на уязвимостта е, че smtp_mailaddr() има логическа грешка, поради която при предаване на празен домейн в email функцията връща успешен код за проверка, дори ако частта от адреса преди «@» съдържа недопустими символи. След това, при подготовката на низ с функцията mda_expand_token() не се ескейпват всички възможни специални символи на shell, а само специалните символи, допустими в имейл адреса. По този начин, за да стартира своята команда е достатъчно да се използва символ «;» и интервал в локалната част на имейла, които не попадат в наборa MAILADDR_ESCAPE и не се ескейпват. Например:

$ nc 127.0.0.1 25

HELO professor.falken
MAIL FROM:
RCPT TO:
DATA
.
QUIT

След тази сесия OpenSMTPD при доставка в mbox ще стартира чрез shell команда

/usr/libexec/mail.local -f ;sleep 66; root

При това, възможностите за атака са ограничени от факта, че локалната част на адреса не може да надвишава 64 символа, а специалните символи ‘$’ и ‘|’ се заменят с «:» при ескейпиране. За заобикаляне на това ограничение е използван факта, че тялото на писмото се предава след стартиране на /usr/libexec/mail.local през входния поток, т.е. чрез манипулации с адреса може да се стартира само командния интерпретатор sh и да се използва тялото на писмото като набор от инструкции. Тъй като в началото на писмото се посочват служебни SMTP заглавия, за да ги пропуснете, се предлага да се използва извикване на команда read в цикъл. Работният експлойт придобива приблизително следния вид:

$ nc 192.168.56.143 25

HELO professor.falken
MAIL FROM:
RCPT TO:
DATA
#0
#1
…
#d
for i in W O P R; do
echo -n «($i) » && id || break
done > /root/x.`id -u`.`$$`
.
QUIT

Източник: opennet.ru