{"id":55807,"date":"2020-01-29T00:00:00","date_gmt":"2020-01-28T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root"},"modified":"2020-02-18T14:03:57","modified_gmt":"2020-02-18T11:03:57","slug":"uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","title":{"rendered":"Schwachstelle in OpenSMTPD erm\u00f6glicht Remote-Codeausf\u00fchrung mit Root-Rechten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im entwickelten Projekt OpenBSD-Mailserver OpenSMTPD<\/a><\/noindex> entdeckt kritische Sicherheitsanf\u00e4lligkeit<\/a><\/noindex> (CVE-2020-7247), die es erm\u00f6glicht, Shell-Befehle auf dem Server mit Benutzerrechten des root-Kontos auszuf\u00fchren. Die Schwachstelle wurde w\u00e4hrend eines erneuten Audits entdeckt, das von der Firma Qualys Security durchgef\u00fchrt wurde (das vorherige Audit von OpenSMTPD wurde<\/a><\/noindex> im Jahr 2015 durchgef\u00fchrt, und die neue Schwachstelle besteht seit Mai 2018). Das Problem behoben<\/a><\/noindex> betrifft die Version von OpenSMTPD 6.6.2. Allen Benutzern wird dringend empfohlen, das Update umgehend zu installieren (f\u00fcr OpenBSD kann das Aktualisierungs-Patch \u00fcber syspatch installiert werden).<\/p>\n

Es wurden zwei Angriffsvarianten vorgeschlagen. Die erste Variante funktioniert in der Standardkonfiguration von OpenSMTPD (Annahme von Anfragen nur von localhost) und erm\u00f6glicht es, das Problem lokal auszunutzen, wenn der Angreifer die M\u00f6glichkeit hat, auf das lokale Netzwerk-Interface (Loopback) auf dem Server zuzugreifen (z. B. auf Hosting-Systemen). Die zweite Variante tritt auf, wenn OpenSMTPD so konfiguriert ist, dass externe Netzwerk-Anfragen angenommen werden (ein Mailserver, der externe E-Mails empf\u00e4ngt). Die Forscher haben einen Exploit-Prototyp entwickelt, der sowohl mit der Version von OpenSMTPD aus OpenBSD 6.6 als auch mit der portablen Version f\u00fcr andere Betriebssysteme (getestet in Debian Testing) erfolgreich funktioniert.<\/p>\n

Das Problem wird durch einen Fehler in der Funktion smtp_mailaddr() verursacht, die zur \u00dcberpr\u00fcfung der G\u00fcltigkeit der Werte in den Feldern \u00abMAIL FROM\u00bb und \u00abRCPT TO\u00bb aufgerufen wird, die den Absender\/Empf\u00e4nger definieren und w\u00e4hrend der Verbindung mit dem Mailserver \u00fcbermittelt werden. Die Funktion smtp_mailaddr() ruft eine Funktion auf, um den Teil der E-Mail-Adresse, der vor dem Zeichen \u00ab@\u00bb steht, zu \u00fcberpr\u00fcfen.
\nvalid_localpart(), die die erlaubten Zeichen (MAILADDR_ALLOWED) \u00ab!#$%&\u2019*?\/^`{|}~+-=_\u00bb gem\u00e4\u00df den Anforderungen von RFC 5322 f\u00fcr g\u00fcltig h\u00e4lt. <\/p>\n

Dabei wird die direkte Escapierung des Strings in der Funktion mda_expand_token() vorgenommen, die nur die Zeichen \u00ab!#$%&\u2019*?`{|}~\u00bb (MAILADDR_ESCAPE) ersetzt. Anschlie\u00dfend wird der in mda_expand_token() vorbereitete String bei der Aufruf des Lieferagenten (MDA) mit dem Befehl 'execle(\u00ab\/bin\/sh\u00bb, \u00ab\/bin\/sh\u00bb, \u00ab-c\u00bb, mda_command,\u2026'. Wenn eine E-Mail \u00fcber \/bin\/sh in mbox eingelegt wird, wird der String \u00ab\/usr\/libexec\/mail.local -f %%{mbox.from} %%{user.username}\u00bb ausgef\u00fchrt, wobei der Wert \u00ab%{mbox.from}\u00bb die gesperrten Daten aus dem Parameter \u00abMAIL FROM\u00bb enth\u00e4lt.<\/p>\n

Die Essenz der Schwachstelle liegt darin, dass smtp_mailaddr() einen logischen Fehler aufweist, aufgrund dessen die Funktion beim \u00dcbertragen einer leeren Domain in der E-Mail einen erfolgreichen \u00dcberpr\u00fcfungscode zur\u00fcckgibt, auch wenn der Teil der Adresse vor \u00ab@\u00bb ung\u00fcltige Zeichen enth\u00e4lt. Bei der Vorbereitung des Strings durch die Funktion mda_expand_token() werden nicht alle m\u00f6glichen Sonderzeichen der Shell, sondern nur die im E-Mail-Adresse erlaubten Sonderzeichen escaped. Somit gen\u00fcgt es, in der lokalen Partei der E-Mail das Zeichen \u00ab;\u00bb und ein Leerzeichen zu verwenden, die nicht in die Menge MAILADDR_ESCAPE fallen und daher nicht escaped werden. Zum Beispiel:<\/p>\n

$ nc 127.0.0.1 25<\/p>\n

HELO professor.falken
\n MAIL FROM:
\n RCPT TO:
\n DATA
\n .
\n QUIT<\/p>\n

Nach dieser Sitzung wird OpenSMTPD beim Zustellen an mbox \u00fcber die Shell den Befehl ausf\u00fchren <\/p>\n

\/usr\/libexec\/mail.local -f ;sleep 66; root<\/p>\n

Dabei sind die Angriffsm\u00f6glichkeiten dadurch eingeschr\u00e4nkt, dass der lokale Teil der Adresse nicht mehr als 64 Zeichen umfassen kann, und die Sonderzeichen \u2018$\u2019 und \u2018|\u2019 w\u00e4hrend des Escapings durch \u00ab:\u00bb ersetzt werden. Um diese Einschr\u00e4nkung zu umgehen, wird die Tatsache genutzt, dass der E-Mail-Text nach dem Start von \/usr\/libexec\/mail.local \u00fcber den Eingabestrom \u00fcbermittelt wird, d.h. durch Manipulationen mit der Adresse kann nur der Shell-Interpreter sh gestartet und der E-Mail-Text als Befehlssatz verwendet werden. Da an der Spitze der E-Mail die System-SMTP-Header angegeben sind, wird vorgeschlagen, den Befehl read in einer Schleife zu verwenden, um sie zu \u00fcberspringen. Der funktionierende Exploit hat ungef\u00e4hr dieses Format:<\/p>\n

$ nc 192.168.56.143 25<\/p>\n

HELO professor.falken
\n MAIL FROM:
\n RCPT TO:
\n DATA
\n #0
\n #1
\n \u2026
\n #d
\n for i in W O P R; do
\n echo -n \u00ab($i) \u00bb; id || break
\n done > \/root\/x.\u2018id -u\u2019.\u2018$$\u2019
\n .
\n QUIT<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-7247), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c shell-\u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0432 \u0445\u043e\u0434\u0435 \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0433\u043e \u0430\u0443\u0434\u0438\u0442\u0430, \u043f\u0440\u043e\u0432\u0435\u0434\u0451\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Qualys Security (\u043f\u0440\u043e\u0448\u043b\u044b\u0439 \u0430\u0443\u0434\u0438\u0442 OpenSMTPD \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0441\u044f \u0432 2015 \u0433\u043e\u0434\u0443, \u0430 \u043d\u043e\u0432\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0441 \u043c\u0430\u044f 2018 \u0433\u043e\u0434\u0430). \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0435 OpenSMTPD 6.6.2. \u0412\u0441\u0435\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55807","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Schwachstelle in OpenSMTPD, die eine remote Codeausf\u00fchrung mit Root-Rechten erm\u00f6glicht | ProHoster","description":"Im OpenBSD-Projekt OpenSMTPD wurde eine Schwachstelle entdeckt.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 OpenSMTPD, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043a\u043e\u0434 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 root | ProHoster","og:description":"\u0412 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-28T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:57+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55807","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:36:30","updated":"2022-10-09 15:09:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55807","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=55807"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55807\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=55807"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=55807"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=55807"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}