{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Exim gepatcht \u2014 jetzt erneut patchen. Frische Remote Command Execution in Exim 4.92 in einer Anfrage","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Exim<\/p>\n

Ganz frisch, Anfang des Sommers, gab es massenhafte Aufrufe, Exim auf Version 4.92 wegen der Schwachstelle CVE-2019-10149 zu aktualisieren (Bitte aktualisieren Sie exim dringend auf 4.92 \u2014 es findet eine aktive Infektion statt \/ Habr<\/a><\/noindex>). Vor einigen Tagen stellte sich heraus, dass die Malware Sustes diese Schwachstelle ausnutzen wollte.<\/p>\n

Nun k\u00f6nnen alle, die sich schnell aktualisiert haben, wieder \u201eerfreut\u201c sein: Am 21. Juli 2019 entdeckte der Forscher Zerons eine kritische Schwachstelle in Exim Mail Transfer-Agent (MTA) bei Verwendung von TLS<\/strong> f\u00fcr Versionen von 4.80 bis 4.92.1<\/strong> einschlie\u00dflich, die es erm\u00f6glichen, Code mit erh\u00f6hten Rechten auszuf\u00fchren<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

Schwachstelle<\/h3>\n

Die Schwachstelle tritt auf, wenn Bibliotheken wie GnuTLS und OpenSSL bei der Einrichtung einer gesicherten TLS-Verbindung verwendet werden.<\/p>\n

Laut Entwickler Heiko Schlittermann verwendet die Konfigurationsdatei in Exim standardm\u00e4\u00dfig kein TLS, jedoch erstellen viele Distributionen w\u00e4hrend der Installation die notwendigen Zertifikate und aktivieren die gesicherte Verbindung. Zudem setzen neuere Versionen von Exim die Option tls_advertise_hosts=*<\/em> und generieren die erforderlichen Zertifikate.<\/p>\n

h\u00e4ngt von der Konfiguration ab. Die meisten Distributionen aktivieren es standardm\u00e4\u00dfig, aber Exim ben\u00f6tigt ein Zertifikat und einen Schl\u00fcssel, um als TLS-Server zu arbeiten. Wahrscheinlich erstellt die Distribution w\u00e4hrend der Installation ein Zertifikat. Neuere Exim-Versionen haben die Option tls_advertise_hosts, die standardm\u00e4\u00dfig auf \u201e*\u201c gesetzt ist, und erstellen ein selbstsigniertes Zertifikat, wenn kein anderes bereitgestellt wird.<\/p><\/blockquote>\n

Die eigentliche Schwachstelle liegt in der fehlerhaften Verarbeitung von SNI (Server Name Indication, Technik, die 2003 in RFC 3546 eingef\u00fchrt wurde, um dem Client die Anforderung eines korrekten Zertifikats f\u00fcr den Domainnamen zu erm\u00f6glichen, Verbreitung des TLS SNI-Standards \/ Blog der Firma WEBO Group \/ Habr<\/a><\/noindex>) w\u00e4hrend des TLS-Handshakes. Ein Angreifer muss lediglich SNI senden, das mit einem Backslash endet (\u201e\u201c) und einem Null-Zeichen (\u201e\u201c).<\/p>\n

Forscher von Qualys haben einen Fehler in der Funktion string_printing(tls_in.sni) entdeckt, der auf eine falsche Escape-Behandlung zur\u00fcckzuf\u00fchren ist. Infolgedessen wird der Backslash unescaped in die Header-Datei print spool geschrieben. Diese Datei wird dann mit privilegierten Rechten von der Funktion spool_read_header() gelesen, was zu einem Heap Overflow f\u00fchrt.<\/p>\n

Es ist erw\u00e4hnenswert, dass die Entwickler von Exim derzeit einen PoC f\u00fcr die Schwachstelle zur Ausf\u00fchrung von Befehlen auf einem entfernten verwundbaren Server erstellt haben, dieser jedoch bislang nicht \u00f6ffentlich verf\u00fcgbar ist. Aufgrund der Einfachheit der Ausnutzung des Fehlers ist es nur eine Frage der Zeit, und zwar einer recht kurzen.<\/strong><\/p>\n

Eine detaillierte Untersuchung des Unternehmens Qualys ist m\u00f6glich hier<\/a><\/noindex>.<\/p>\n

\"Exim<\/p>\n

Verwendung von SNI in TLS<\/em><\/p>\n

Anzahl potenziell verwundbarer \u00f6ffentlicher Server<\/h3>\n

Statistisch gesehen bei einem gro\u00dfen Hosting-Anbieter E-Soft Inc<\/strong> am 1. September wird auf gemieteten Servern Version 4.92 in \u00fcber 70 % der Hosts verwendet.<\/p>\n

Version
\nAnzahl der Server
\nProzentsatz<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Andere Versionen
\n25568
\n5.04%<\/p>\n

Statistik des Unternehmens E-Soft Inc<\/em><\/p>\n

Wenn Sie die Suchmaschine Shodan<\/strong><\/a><\/noindex>dot verwenden, aus 5.250.000 in der Serverdatenbank:<\/p>\n