{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Patchet Exim \u2014 patch igen. Ny Remote Command Execution i Exim 4.92 i \u00e9n anmodning","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Patchet<\/p>\n

For ikke s\u00e5 l\u00e6nge siden, i begyndelsen af sommeren, kom der masser af opfordringer til at opdatere Exim til version 4.92 p\u00e5 grund af s\u00e5rbarheden CVE-2019-10149 (Opdater straks exim til 4.92 \u2014 der er aktiv infektion \/ Habr<\/a><\/noindex>). For nylig blev det klart, at det ondsindede program Sustes har besluttet at udnytte denne s\u00e5rbarhed.<\/p>\n

Nu kan alle, der hastigt har opdateret, endnu en gang \"gl\u00e6de\" sig over: Den 21. juli 2019 opdagede forskeren Zerons en kritisk s\u00e5rbarhed i Exim Mail Transfer agent (MTA) ved brug af TLS<\/strong> for versioner fra 4.80 til 4.92.1<\/strong> inklusive, hvilket muligg\u00f8r fjernbetjening af kode med privilegerede rettigheder.<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

S\u00e5rbarhed<\/h3>\n

S\u00e5rbarheden er til stede ved brug af biblioteker som GnuTLS samt OpenSSL ved oprettelse af en sikret TLS-forbindelse.<\/p>\n

If\u00f8lge udvikleren Heiko Schlittermann bruger Exim's konfigurationsfil som standard ikke TLS, men mange distributioner opretter de n\u00f8dvendige certifikater under installationen og inkluderer en sikret forbindelse. Desuden indstiller nyere versioner af Exim muligheden tls_advertise_hosts=*<\/em> og genererer de n\u00f8dvendige certifikater.<\/p>\n

afh\u00e6nger af konfigurationen. De fleste distributioner aktiverer det som standard, men Exim har brug for et certifikat+n\u00f8gle for at fungere som en TLS-server. Sandsynligvis skaber distributionerne et certifikat under ops\u00e6tningen. Nyere Exim-versioner har indstillingen tls_advertise_hosts som standard til \u00ab*\u00bb og opretter et selvsigneret certifikat, hvis der ikke gives et.<\/p><\/blockquote>\n

S\u00e5rbarheden selv best\u00e5r i forkert behandling af SNI (Server Name Indication, en teknologi introduceret i 2003 i RFC 3546 til anmodning fra klienten om det korrekte certifikat til dom\u00e6nenavnet, Udbredelse af standarden TLS SNI \/ Blog fra WEBO Group \/ Habr<\/a><\/noindex>) under TLS-h\u00e5ndtryk. En angriber beh\u00f8ver blot at sende SNI, der slutter med en backslash (\u00ab\u00bb) og et nul-tegn (\u00ab \u00bb).<\/p>\n

Forskere fra Qualys har opdaget en fejl i funktionen string_printing(tls_in.sni), som involverer forkert escaping af \u00ab\u00bb. Som et resultat skrives backslash-tegnet ud i ikke-escaperet form i headerfilen print spool. Denne fil l\u00e6ses derefter med privilegerede rettigheder af funktionen spool_read_header(), hvilket f\u00f8rer til et heap overflow.<\/p>\n

Det skal bem\u00e6rkes, at udviklerne af Exim p\u00e5 nuv\u00e6rende tidspunkt har skabt en PoC for s\u00e5rbarheden med udf\u00f8relse af kommandoer p\u00e5 en fjern s\u00e5rbar server, men den er endnu ikke offentligt tilg\u00e6ngelig. Givet den enkle udnyttelse af fejlen er det blot et sp\u00f8rgsm\u00e5l om tid, og ret kort tid.<\/strong><\/p>\n

Et mere detaljeret fors\u00f8g fra Qualys kan ses her<\/a><\/noindex>.<\/p>\n

\"Patchet<\/p>\n

Brug af SNI i TLS<\/em><\/p>\n

Antallet af potentielt s\u00e5rbare offentlige servere<\/h3>\n

If\u00f8lge statistikker fra en stor hostingudbyder E-Soft Inc<\/strong> den 1. september anvendes version 4.92 p\u00e5 mere end 70% af de lejede servere.<\/p>\n

Version
\nAntal Servere
\nProcent<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Andre versioner
\n25568
\n5.04%<\/p>\n

Statistik fra E-Soft Inc<\/em><\/p>\n

Hvis man henvender sig til s\u00f8gemaskinen Shodan<\/strong><\/a><\/noindex>, s\u00e5 ud af 5.250.000 i databasen af servere:<\/p>\n