{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Exim gepatcht \u2013 jetzt erneut patchen. Aktuelle Remote Command Execution in Exim 4.92 in einem einzigen Request.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Exim<\/p>\n

Vor Kurzem, zu Beginn des Sommers, wurden massenhafte Aufrufe zur Aktualisierung von Exim auf Version 4.92 aufgrund der Sicherheitsanf\u00e4lligkeit CVE-2019-10149 ver\u00f6ffentlicht (Bitte aktualisieren Sie dringend Exim auf 4.92 - es findet eine aktive Infektion statt \/ Habr<\/a><\/noindex>). J\u00fcngste Entwicklungen haben ergeben, dass die Malware Sustes diese Schwachstelle ausnutzen m\u00f6chte.<\/p>\n

Nun k\u00f6nnen sich alle, die hastig aktualisiert haben, wieder freuen: Am 21. Juli 2019 entdeckte der Forscher Zerons eine kritische Sicherheitsanf\u00e4lligkeit in der Exim Mail Transfer Agent (MTA) bei der Verwendung von TLS<\/strong> f\u00fcr Versionen von 4.80 bis 4.92.1<\/strong> einschlie\u00dflich, die es erm\u00f6glicht, Code mit privilegierten Rechten auszuf\u00fchren.<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

Sicherheitsanf\u00e4lligkeit<\/h3>\n

Die Sicherheitsanf\u00e4lligkeit tritt beim Einsatz der Bibliotheken sowohl GnuTLS als auch OpenSSL auf, wenn eine sichere TLS-Verbindung eingerichtet wird.<\/p>\n

Laut dem Entwickler Heiko Schlittermann verwendet die Konfigurationsdatei in Exim standardm\u00e4\u00dfig kein TLS, jedoch erstellen viele Distributionen w\u00e4hrend der Installation die erforderlichen Zertifikate und aktivieren die gesicherte Verbindung. Zudem aktivieren neuere Versionen von Exim die Option tls_advertise_hosts=*<\/em> und generieren die ben\u00f6tigten Zertifikate.<\/p>\n

h\u00e4ngt von der Konfiguration ab. Die meisten Distributionen aktivieren es standardm\u00e4\u00dfig, aber Exim ben\u00f6tigt ein Zertifikat und einen Schl\u00fcssel, um als TLS-Server zu fungieren. Wahrscheinlich erstellen Distributionen w\u00e4hrend der Installation ein Zertifikat. Neuere Exim-Versionen haben die Option tls_advertise_hosts, die standardm\u00e4\u00dfig auf \u201e*\u201c eingestellt ist, und erstellen ein selbstsigniertes Zertifikat, wenn kein solches bereitgestellt wird.<\/p><\/blockquote>\n

Die Schwachstelle selbst liegt in der fehlerhaften Verarbeitung von SNI (Server Name Indication, eine Technologie, die 2003 in RFC 3546 eingef\u00fchrt wurde, um dem Client zu erm\u00f6glichen, das korrekte Zertifikat f\u00fcr einen Domainnamen abzufragen, Verbreitung des TLS SNI Standards \/ Blog der WEBO Group \/ Habr<\/a><\/noindex>) w\u00e4hrend des TLS-Handshakes. Ein Angreifer muss nur SNI senden, das mit einem Backslash (\u201e\u201c\u201c) und einem Null-Zeichen (\u201e\u201c\u201c) endet.<\/p>\n

Forscher von Qualys haben einen Fehler in der Funktion string_printing(tls_in.sni) entdeckt, der sich auf die falsche Escaping von \u201e\u201c\u201c bezieht. Infolgedessen wird ein Backslash in unmaskierter Form in die Header-Datei print spool geschrieben. Diese Datei wird dann mit privilegierten Rechten von der Funktion spool_read_header() gelesen, was zu einem Heap-Overflow f\u00fchrt.<\/p>\n

Es ist wichtig zu erw\u00e4hnen, dass die Entwickler von Exim derzeit einen PoC f\u00fcr eine Remote-Code-Execution-Schwachstelle erstellt haben, dieser jedoch momentan nicht \u00f6ffentlich verf\u00fcgbar ist. Aufgrund der Einfachheit der Ausnutzung dieses Bugs ist es nur eine Frage der Zeit, und zwar einer recht kurzen.<\/strong><\/p>\n

Eine detaillierte Untersuchung durch das Unternehmen Qualys finden Sie hier hier<\/a><\/noindex>.<\/p>\n

\"Exim<\/p>\n

Verwendung von SNI in TLS<\/em><\/p>\n

Anzahl potenziell verwundbarer \u00f6ffentlicher Server<\/h3>\n

Laut Statistik eines gro\u00dfen Hosting-Anbieters E-Soft Inc<\/strong> Stand 1. September wird auf gemieteten Servern die Version 4.92 bei \u00fcber 70 % der Hosts verwendet.<\/p>\n

Version
\nAnzahl der Server
\nProzent<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Andere Versionen
\n25568
\n5.04%<\/p>\n

Statistik des Unternehmens E-Soft Inc<\/em><\/p>\n

Wenn man die Suchmaschine Shodan<\/strong><\/a><\/noindex>daran erinnert, sind von 5.250.000 in der Serverdatenbank:<\/p>\n