{"id":71318,"date":"2020-02-25T07:34:19","date_gmt":"2020-02-25T04:34:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root"},"modified":"2020-03-03T16:10:53","modified_gmt":"2020-03-03T13:10:53","slug":"uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","title":{"rendered":"S\u00e5rbarheder i OpenSMTPD, der muligg\u00f8r fjern- og lokal adgang til root-rettigheder","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Qualys har afsl\u00f8ret<\/a><\/noindex> endnu en kritisk s\u00e5rbarhed (CVE-2020-8794) i mailserveren OpenSMTPD<\/a><\/noindex>, udviklet af OpenBSD-projektet. Ligesom den, der blev identificeret i slutningen af januar ASLR i programmer med setuid-flaget og bestemme adressefordelingen i de indl\u00e6ste biblioteker gennem manipulation af milj\u00f8variablen LD_PREFER_MAP_32BIT_EXEC.<\/a><\/noindex>, giver det nye problem mulighed for at udf\u00f8re vilk\u00e5rlige shell-kommandoer p\u00e5 serveren med root-brugerrettigheder. S\u00e5rbarheden er blevet l\u00f8st<\/a><\/noindex> i versionen OpenSMTPD 6.6.4p1<\/a><\/noindex>. <\/p>\n

Problemet skyldes en fejl i koden, der administrerer levering af e-mail til en ekstern mailserver (ikke i koden, der h\u00e5ndterer indg\u00e5ende forbindelser). Angrebet kan udf\u00f8res b\u00e5de p\u00e5 klient- og serversiden. P\u00e5 klientsiden kan angrebet finde sted i standardkonfigurationen af OpenSMTPD, hvor OpenSMTPD kun accepterer anmodninger p\u00e5 den interne netv\u00e6rksgr\u00e6nseflade (localhost) og sender e-mails til eksterne servere. For at udnytte s\u00e5rbarheden er det tilstr\u00e6kkeligt, at OpenSMTPD under leveringen af en e-mail opretter en session med en mailserver kontrolleret af angriberen, eller at angriberen kan infiltrere forbindelsen fra klienten (MITM eller omdirigering under angreb via DNS eller BGP).<\/p>\n

For at angrebet kan finde sted p\u00e5 serversiden, skal OpenSMTPD v\u00e6re konfigureret til at modtage eksterne netv\u00e6rksanmodninger fra andre mailservere eller betjene tredjepartstjenester, der tillader at sende anmodninger til vilk\u00e5rlige e-mails (f.eks. bekr\u00e6ftelsesformularer p\u00e5 websteder). For eksempel kan en angriber oprette forbindelse til OpenSMTPD-serveren og sende en ugyldig e-mail (til en ikke-eksisterende bruger), hvilket vil resultere i, at der sendes et fejlmeddelelse (bounce) tilbage til angriberens server. Angriberen kan udnytte s\u00e5rbarheden, n\u00e5r OpenSMTPD opretter forbindelse for at levere en meddelelse til angriberens server. Shell-kommandoer indsat under angrebet placeres i en fil, der k\u00f8res med root-rettigheder ved genstart af OpenSMTPD, s\u00e5 angriberen skal vente p\u00e5 genstarten af OpenSMTPD eller initiere et nedbrud af OpenSMTPD.<\/p>\n

Problemet findes i funktionen mta_io() i koden til fortolkning af det flerlinjede svar, som returneres af den fjerntliggende server efter etablering af forbindelsen (f.eks. \u00ab250-ENHANCEDSTATUSCODES\u00bb og \u00ab250 HELP\u00bb). I OpenSMTPD forventes det, at den f\u00f8rste linje indeholder et tresifret tal og tekst, adskilt af tegnet \u00ab-\u00bb, mens den anden linje indeholder et tresifret tal og tekst, adskilt af et mellemrum. Hvis der ikke efterf\u00f8lges et mellemrum og tekst efter det tresifrede tal i den anden linje, s\u00e6ttes pegepinden, der bruges til at bestemme teksten, p\u00e5 byten umiddelbart efter tegnet \u2018\u2019 og der g\u00f8res et fors\u00f8g p\u00e5 at kopiere dataene i bufferen, der f\u00f8lger efter linjens ende.<\/p>\n

Efter anmodning fra OpenBSD-projektet er offentligg\u00f8relse af detaljer om udnyttelsen af s\u00e5rbarheden udsat til 26. februar for at give brugerne mulighed for at opdatere deres systemer. Problemet har v\u00e6ret til stede i kodebasen siden december 2015, men udnyttelse til eksekvering af kode med root-rettigheder har v\u00e6ret muligt siden maj 2018. Forskere har udviklet en fungerende prototype af et exploit, som er blevet testet med succes i OpenSMTPD-versioner for OpenBSD 6.6, OpenBSD 5.9, Debian 10, Debian 11 (testing) og Fedora 31. <\/p>\n

I OpenSMTPD er der ogs\u00e5 opdaget<\/a><\/noindex> en anden s\u00e5rbarhed (CVE-2020-8793), som g\u00f8r det muligt for en lokal bruger at l\u00e6se den f\u00f8rste linje af enhver fil i systemet. For eksempel kan man l\u00e6se den f\u00f8rste linje i \/etc\/master.passwd, som indeholder hash-v\u00e6rdien for root-brugerens kodeord. S\u00e5rbarheden tillader ogs\u00e5 l\u00e6sning af hele indholdet af en fil, der tilh\u00f8rer en anden bruger, hvis denne fil findes p\u00e5 samme filsystem som kataloget \/var\/spool\/smtpd\/. Problemet kan ikke udnyttes i mange Linux-distributioner, hvor v\u00e6rdien af \/proc\/sys\/fs\/protected_hardlinks er sat til 1. <\/p>\n

Problemet er en konsekvens af en utilstr\u00e6kkelig afhj\u00e6lpning problemer<\/a><\/noindex>, n\u00e6vnt i forbindelse med den audit, der blev gennemf\u00f8rt af Qualys i 2015. En angriber kan opn\u00e5 udf\u00f8relse af sin kode med rettighederne fra gruppen \u00ab_smtpq\u00bb ved at s\u00e6tte variablen \u00abPATH=.\u00bb og placere et script med navnet makemap i den nuv\u00e6rende mappe (v\u00e6rkt\u00f8jet smtpctl k\u00f8rer makemap uden eksplicit angivelse af sti). Efter at have f\u00e5et adgang til gruppen \u00ab_smtpq\u00bb kan angriberen derefter udnytte en race condition (oprette en stor fil i mappen offline og sende SIGSTOP signalet) og, inden behandlingen er afsluttet, erstatte filen i mappen offline med et h\u00e5rdt symbolsk link, der peger p\u00e5 den m\u00e5lfil, hvis indhold der skal l\u00e6ses.<\/p>\n

Bem\u00e6rkelsesv\u00e6rdigt er det, at i Fedora 31 giver s\u00e5rbarheden straks adgang til root-gruppens privilegier, da processen smtpctl er udstyret med setgid root-flaget i stedet for setgid smtpq. Ved at f\u00e5 adgang til root-gruppen kan man overskrive indholdet af \/var\/lib\/sss\/mc\/passwd og opn\u00e5 fuld root-adgang til systemet.<\/p>\n

<\/a><\/noindex><\/p>\n

Kilde: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Qualys \u0432\u044b\u044f\u0432\u0438\u043b\u0430 \u0435\u0449\u0451 \u043e\u0434\u043d\u0443 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u0443\u044e \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-8794) \u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD, \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD. \u041a\u0430\u043a \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u0432 \u043a\u043e\u043d\u0446\u0435 \u044f\u043d\u0432\u0430\u0440\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043d\u043e\u0432\u0430\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u0430\u0451\u0442 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b shell \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0435 OpenSMTPD 6.6.4p1. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432\u044b\u0437\u0432\u0430\u043d\u0430 \u043e\u0448\u0438\u0431\u043a\u043e\u0439 \u0432 \u043a\u043e\u0434\u0435, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u044e\u0449\u0435\u043c \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0443 \u043f\u043e\u0447\u0442\u044b \u043d\u0430 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0439 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-71318","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47S\u00e5rbarheder i OpenSMTPD, der muligg\u00f8r fjern- og lokal adgang til root-rettigheder | ProHoster","description":"Firmaet Qualys har identificeret endnu en fjernkritisk s\u00e5rbarhed (CVE-2020-8794) i mailserveren.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 OpenSMTPD, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0435 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 root | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Qualys \u0432\u044b\u044f\u0432\u0438\u043b\u0430 \u0435\u0449\u0451 \u043e\u0434\u043d\u0443 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u0443\u044e \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-8794) \u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435.","og:url":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-25T04:34:19+00:00","article:modified_time":"2020-03-03T13:10:53+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"71318","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:04:24","updated":"2022-09-28 08:07:40","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/71318","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=71318"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/71318\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=71318"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=71318"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=71318"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}