{"id":82266,"date":"2020-05-20T19:42:07","date_gmt":"2020-05-20T17:42:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/udalyonno-ekspluatiruemaya-uyazvimost-v-pochtovom-servere-qmail"},"modified":"2020-05-20T19:42:07","modified_gmt":"2020-05-20T17:42:07","slug":"udalyonno-ekspluatiruemaya-uyazvimost-v-pochtovom-servere-qmail","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/udalyonno-ekspluatiruemaya-uyazvimost-v-pochtovom-servere-qmail","title":{"rendered":"Remote ausnutzbare Schwachstelle im Mailserver qmail","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sicherheitsforscher von Qualys haben wir gezeigt,<\/a><\/noindex> die M\u00f6glichkeit der Ausnutzung<\/a><\/noindex> Schwachstellen im Mailserver qmail, bekannt<\/a><\/noindex> die bereits seit 2005 bestehen (CVE-2005-1513), jedoch unbehoben blieben, da der Autor von qmail die Realisierbarkeit eines funktionierenden Exploits, der gegen Standardkonfigurationen eingesetzt werden k\u00f6nnte, als unrealistisch ansah. Qualys gelang es, einen Exploit zu entwickeln, der diese Annahme widerlegt und die remote Ausf\u00fchrung von Code auf dem Server durch den Versand speziell gestalteter Nachrichten erm\u00f6glicht.<\/p>\n

Das Problem wird durch einen ganzzahligen \u00dcberlauf in der Funktion stralloc_readyplus() verursacht, der bei der Verarbeitung sehr gro\u00dfer Nachrichten auftreten kann. F\u00fcr den Exploit war ein 64-Bit-System mit mehr als 4 GB virtuellem Speicher erforderlich. Bei der urspr\u00fcnglichen Analyse der Schwachstelle im Jahr 2005 erkl\u00e4rte Daniel Bernstein, dass die Annahme im Code, dass die Gr\u00f6\u00dfe des zugewiesenen Arrays immer in einen 32-Bit-Wert passt, darauf basiert, dass niemand einem Prozess Gigabytes an Speicher zur Verf\u00fcgung stellt. In den letzten 15 Jahren haben 64-Bit-Systeme auf Servern 32-Bit-Systeme weitgehend verdr\u00e4ngt, und die Menge des bereitgestellten Speichers sowie die Netzwerkbandbreite sind stark gestiegen. <\/p>\n

Die begleitenden Pakete mit qmail ber\u00fccksichtigten Bernsteins Anmerkung und begrenzten beim Start des Prozesses qmail-smtpd den verf\u00fcgbaren Speicher (z. B. wird bei Debian 10 ein Limit von 7 MB festgelegt). Doch Ingenieure von Qualys fanden heraus, dass dies nicht ausreicht und dass neben qmail-smtpd auch ein remote Angriff auf den Prozess qmail-local m\u00f6glich ist, der in allen gepr\u00fcften Paketen unbeschr\u00e4nkt blieb. Als Beweis wurde ein Konzept-Exploits entwickelt, der f\u00fcr den in Debian mit qmail in Standardkonfiguration gelieferten Paket geeignet ist.
\nF\u00fcr die Organisation der remote Ausf\u00fchrung von Code w\u00e4hrend des Angriffs ist ein freier Speicherplatz von 4 GB auf der Festplatte und 8 GB RAM auf dem Server erforderlich.
\nDer Exploit erm\u00f6glicht es, beliebige Shell-Befehle mit den Rechten eines beliebigen Benutzers im System auszuf\u00fchren, au\u00dfer root und systembezogenen Benutzern, die keinen eigenen Unterordner im Verzeichnis \u201e\/home\u201c haben (der Prozess qmail-local wird mit den Rechten des lokalen Benutzers gestartet, an den die Zustellung erfolgt).<\/p>\n

Der Angriff erfolgt
\ndurch das Senden einer sehr gro\u00dfen E-Mail-Nachricht, die mehrere Zeilen im Header umfasst und etwa 4 GB und 576 MB gro\u00df ist. Die Verarbeitung einer solchen Zeile in qmail-local f\u00fchrt zu einem integer overflow beim Versuch, die Nachricht an den lokalen Benutzer zuzustellen. Der integer overflow f\u00fchrt anschlie\u00dfend zu einem buffer overflow beim Kopieren der Daten und der M\u00f6glichkeit, Speicherseiten mit libc-Code zu \u00fcberschreiben. Durch Manipulation der \u00fcbertragenden Daten ist es m\u00f6glich, auch die Adresse der Funktion \u201eopen()\u201c zu \u00fcberschreiben und sie durch die Adresse der Funktion \u201esystem()\u201c zu ersetzen. <\/p>\n

Dar\u00fcber hinaus wird beim Aufruf von qmesearch() in qmail-local die Datei \u201e.qmail-extension\u201c \u00fcber die Funktion open() ge\u00f6ffnet, was zur tats\u00e4chlichen Ausf\u00fchrung der Funktion
\nsystem(\u201e.qmail-extension\u201c). Doch da ein Teil der Datei \u201eextension\u201c auf der Adresse des Empf\u00e4ngers basiert (z. B. \u201elocaluser-extension@localdomain\u201c), k\u00f6nnen Angreifer die \u00dcbertragung eines zu startenden Befehls organisieren, indem sie den Benutzer \u201elocaluser-;command;@localdomain\u201c als Empf\u00e4nger der Nachricht angeben. <\/p>\n

Bei der Analyse des Codes wurden auch zwei Schwachstellen in dem zus\u00e4tzlichen Patch qmail-verify identifiziert, der Teil des Pakets f\u00fcr Debian ist. Die erste Schwachstelle (CVE-2020-3811<\/a><\/noindex>) erm\u00f6glicht es, die \u00dcberpr\u00fcfung der E-Mail-Adresse zu umgehen, w\u00e4hrend die zweite (CVE-2020-3812<\/a><\/noindex>) f\u00fchrt zu einem Leak lokaler Informationen. Insbesondere erm\u00f6glicht die erste Schwachstelle, die \u00dcberpr\u00fcfung der G\u00fcltigkeit der Adresse zu umgehen, die im Exploit zur \u00dcbertragung des Befehls verwendet wird (die \u00dcberpr\u00fcfung schl\u00e4gt bei Adressen ohne Domain wie \u201elocaluser-;command;\u201c fehl). Die zweite Schwachstelle kann verwendet werden, um die Existenz von Dateien und Verzeichnissen im System zu \u00fcberpr\u00fcfen, die nur f\u00fcr root zug\u00e4nglich sind (qmail-verify wird mit den Rechten von root gestartet), durch direkten Zugriff auf den lokalen Handler.<\/p>\n

Um das Problem zu umgehen, empfahl Bernstein, die qmail-Prozesse mit einer allgemeinen Speicherlimits (\"softlimit -m12345678\") zu starten. In diesem Fall wird das Problem blockiert. Eine alternative Schutzma\u00dfnahme besteht darin, die maximale Gr\u00f6\u00dfe der verarbeiteten Nachricht \u00fcber die Datei \"control\/databytes\" zu begrenzen (diese wird standardm\u00e4\u00dfig nicht erstellt; bei den Standardeinstellungen bleibt qmail anf\u00e4llig). Dar\u00fcber hinaus sch\u00fctzt \"control\/databytes\" nicht vor lokalen Angriffen von Systembenutzern, da das Limit nur in qmail-smtpd ber\u00fccksichtigt wird.<\/p>\n

Das Problem betrifft das Paket netqmail<\/a><\/noindex>, die im Debian-Repository enthalten sind. F\u00fcr dieses Paket wurde eine Reihe von Patches erstellt, die sowohl alte Sicherheitsanf\u00e4lligkeiten aus dem Jahr 2005 (durch die Hinzuf\u00fcgung von harten Speicherkapazit\u00e4tsgrenzen in die alloc()-Funktion) als auch neue Probleme in qmail-verify beheben. Separat vorbereitet<\/a><\/noindex> eine aktualisierte Version des Patches qmail-verify. Die Entwickler einem Fork<\/a><\/noindex> notqmail<\/a><\/noindex> haben ihre Patches vorbereitet, um alte Probleme zu blockieren, und haben auch an der Beseitigung aller m\u00f6glichen ganzzahliger \u00dcberl\u00e4ufe im Code gearbeitet.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Qualys \u043f\u043e\u043a\u0430\u0437\u0430\u043b\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 qmail, \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u0435\u0449\u0451 \u0441 2005 \u0433\u043e\u0434\u0430 (CVE-2005-1513), \u043d\u043e \u043e\u0441\u0442\u0430\u0432\u0430\u0432\u0448\u0435\u0439\u0441\u044f \u043d\u0435\u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0439, \u0442\u0430\u043a \u043a\u0430\u043a \u0430\u0432\u0442\u043e\u0440 qmail \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u043b \u043e \u043d\u0435\u0440\u0435\u0430\u043b\u0438\u0441\u0442\u0438\u0447\u043d\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0433\u043e \u044d\u043a\u0441\u043f\u043b\u043e\u0438\u0442\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u043e\u0433 \u0431\u044b \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c\u0441\u044f \u0434\u043b\u044f \u0430\u0442\u0430\u043a\u0438 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e. \u0412 Qualys \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u0438\u0442\u044c \u044d\u043a\u0441\u043f\u043b\u043e\u0438\u0442 \u043e\u043f\u0440\u043e\u0432\u0435\u0440\u0433\u0430\u044e\u0449\u0438\u0439 \u0434\u0430\u043d\u043d\u043e\u0435 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0438\u0446\u0438\u0438\u0440\u043e\u0432\u0430\u0442\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-82266","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Eine aus der Ferne ausnutzbare Schwachstelle im Mailserver qmail | ProHoster","description":"Sicherheitsforscher von Qualys haben die M\u00f6glichkeit aufgezeigt,","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/udalyonno-ekspluatiruemaya-uyazvimost-v-pochtovom-servere-qmail","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u0443\u0435\u043c\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 qmail | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Qualys \u043f\u043e\u043a\u0430\u0437\u0430\u043b\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/udalyonno-ekspluatiruemaya-uyazvimost-v-pochtovom-servere-qmail","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-20T17:42:07+00:00","article:modified_time":"2020-05-20T17:42:07+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"82266","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:41:28","updated":"2022-09-27 18:41:59","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/82266","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=82266"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/82266\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=82266"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=82266"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=82266"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}