Exim gepatcht — jetzt erneut patchen. Frische Remote Command Execution in Exim 4.92 in einer Anfrage

Ganz frisch, Anfang des Sommers, gab es massenhafte Aufrufe, Exim auf Version 4.92 wegen der Schwachstelle CVE-2019-10149 zu aktualisieren (Bitte aktualisieren Sie exim dringend auf 4.92 — es findet eine aktive Infektion statt / Habr). Vor einigen Tagen stellte sich heraus, dass die Malware Sustes diese Schwachstelle ausnutzen wollte.

Nun können alle, die sich schnell aktualisiert haben, wieder „erfreut“ sein: Am 21. Juli 2019 entdeckte der Forscher Zerons eine kritische Schwachstelle in Exim Mail Transfer-Agent (MTA) bei Verwendung von TLS für Versionen von 4.80 bis 4.92.1 einschließlich, die es ermöglichen, Code mit erhöhten Rechten auszuführen (CVE-2019-15846).

Schwachstelle

Die Schwachstelle tritt auf, wenn Bibliotheken wie GnuTLS und OpenSSL bei der Einrichtung einer gesicherten TLS-Verbindung verwendet werden.

Laut Entwickler Heiko Schlittermann verwendet die Konfigurationsdatei in Exim standardmäßig kein TLS, jedoch erstellen viele Distributionen während der Installation die notwendigen Zertifikate und aktivieren die gesicherte Verbindung. Zudem setzen neuere Versionen von Exim die Option tls_advertise_hosts=* und generieren die erforderlichen Zertifikate.

hängt von der Konfiguration ab. Die meisten Distributionen aktivieren es standardmäßig, aber Exim benötigt ein Zertifikat+Schlüssel, um als TLS-Server zu arbeiten. Wahrscheinlich erstellen Distributionen ein Zertifikat während der Einrichtung. Neuere Exims haben die Option tls_advertise_hosts, die standardmäßig auf „*“ eingestellt ist, und erstellen ein selbstsigniertes Zertifikat, wenn kein Zertifikat bereitgestellt wird.

Die eigentliche Schwachstelle liegt in der fehlerhaften Verarbeitung von SNI (Server Name Indication, Technik, die 2003 in RFC 3546 eingeführt wurde, um dem Client die Anforderung eines korrekten Zertifikats für den Domainnamen zu ermöglichen, Verbreitung des TLS SNI-Standards / Blog der Firma WEBO Group / Habr) während des TLS-Handshakes. Ein Angreifer muss nur SNI senden, das mit einem Backslash („") und einem Null-Zeichen („ “) endet.

Forscher von Qualys entdeckten einen Fehler in der Funktion string_printing(tls_in.sni), der in der fehlerhaften Escapierung von „“ besteht. Infolgedessen wird ein Backslash unescaped in die Header-Datei print spool geschrieben. Diese Datei wird dann mit erhöhten Rechten von der Funktion spool_read_header() gelesen, was zu einem Heap Overflow führt.

Es ist erwähnenswert, dass die Entwickler von Exim derzeit einen PoC für die Schwachstelle zur Ausführung von Befehlen auf einem entfernten verwundbaren Server erstellt haben, dieser jedoch bislang nicht öffentlich verfügbar ist. Aufgrund der Einfachheit der Ausnutzung des Fehlers ist es nur eine Frage der Zeit, und zwar einer recht kurzen.

Eine detaillierte Untersuchung des Unternehmens Qualys ist möglich hier.

Verwendung von SNI in TLS

Anzahl potenziell verwundbarer öffentlicher Server

Statistisch gesehen bei einem großen Hosting-Anbieter E-Soft Inc am 1. September wird auf gemieteten Servern Version 4.92 in über 70 % der Hosts verwendet.

Version
Anzahl der Server
Prozentsatz

4.92.1
6471
1.28%

4.92
376436
74.22%

4.91
58179
11.47%

4.9
5732
1.13%

4.89
10700
2.11%

4.87
14177
2.80%

4.84
9937
1.96%

Andere Versionen
25568
5.04%

Statistik des Unternehmens E-Soft Inc

Wenn Sie die Suchmaschine Shodandot verwenden, aus 5.250.000 in der Serverdatenbank:

• ungefähr 3.500.000 verwenden Exim 4.92 (ungefähr 1.380.000 mit SSL/TLS);
• über 74.000 verwenden 4.92.1 (ungefähr 25.000 mit SSL/TLS).

Somit gibt es ungefähr 1,5 Millionen.

Suche nach Exim-Servern in Shodan

Schutz

• Die einfachste, aber nicht empfohlene Option ist, TLS nicht zu verwenden, was dazu führen würde, dass E-Mails im Klartext übertragen werden.
• Es ist vorzuziehen, die Verletzbarkeit zu vermeiden, indem auf die Version Exim Internet Mailer 4.92.2.
• aktualisiert wird, falls eine Aktualisierung oder Installation einer gepatchten Version nicht möglich ist, kann eine ACL in der Exim-Konfiguration für die Option acl_smtp_mail mit den folgenden Regeln festgelegt werden:

  # to be prepended to your mail acl (the ACL referenced
  # by the acl_smtp_mail main config option)
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}}
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}

Quelle: habr.com