Se ha publicado la versión del servidor de correo Exim 4.94.2, que corrige 21 vulnerabilidades (CVE-2020-28007 a CVE-2020-28026, CVE-2021-27216), identificadas por la empresa Qualys y presentadas bajo el nombre en clave 21Nails. Diez de estos problemas pueden ser explotados de forma remota (incluyendo la ejecución de código con privilegios de root) mediante manipulaciones de los comandos SMTP al interactuar con el servidor.
Todas las versiones de Exim están afectadas, con un historial que se remonta a 2004 en Git. Se han preparado prototipos funcionales de exploits para 4 vulnerabilidades locales y 3 problemas remotos. Los exploits para las vulnerabilidades locales (CVE-2020-28007, CVE-2020-28008, CVE-2020-28015, CVE-2020-28012) permiten elevar privilegios hasta el usuario root. Dos problemas remotos (CVE-2020-28020, CVE-2020-28018) permiten ejecutar código con privilegios del usuario exim sin autenticación (y luego se puede obtener acceso root explotando una de las vulnerabilidades locales).
La vulnerabilidad CVE-2020-28021 permite ejecutar código de forma remota con privilegios de root, pero requiere acceso autenticado (el usuario debe establecer una sesión autenticada y luego puede explotar la vulnerabilidad mediante manipulaciones del parámetro AUTH en el comando MAIL FROM). El problema se debe a que el atacante puede lograr la sustitución de cadena en el encabezado del archivo de spool debido a la escritura del valor authenticated_sender sin el adecuado escape de caracteres especiales (por ejemplo, enviando el comando «MAIL FROM:<> AUTH=Raven+0AReyes»).
Además, se destaca que hay otra vulnerabilidad remota CVE-2020-28017 que puede ser explotada para ejecutar código con privilegios del usuario «exim» sin autenticación, pero requiere más de 25 GB de memoria. Para las otras 13 vulnerabilidades, potencialmente también se pueden preparar exploits, aunque hasta ahora no se ha trabajado en esta dirección.
Los desarrolladores de Exim fueron notificados de los problemas en octubre del año pasado y han dedicado más de 6 meses a desarrollar correcciones. Se recomienda a todos los administradores que actualicen urgentemente Exim en sus servidores de correo. como en entornos de nube públicos o privados. Hasta la versión 4.94.2. Todas las versiones de Exim anteriores a la 4.94.2 están obsoletas. La publicación de la nueva versión se coordinó con las distribuciones, que publicaron actualizaciones de paquetes al mismo tiempo: Ubuntu, Arch Linux, FreeBSD, Debian, SUSE y Fedora. RHEL y CentOS no están afectados, ya que Exim no está incluido en su repositorio de paquetes estándar (la actualización aún no está disponible en EPEL).
Vulnerabilidades remotas:
- CVE-2020-28017: Desbordamiento de enteros en la función receive_add_recipient();
- CVE-2020-28020: Desbordamiento de enteros en la función receive_msg();
- CVE-2020-28023: Lectura fuera del área de memoria asignada en la función smtp_setup_msg();
- CVE-2020-28021: Inserción de nueva línea en el encabezado del archivo de cola;
- CVE-2020-28022: Lectura y escritura fuera del área de memoria asignada en la función extract_option();
- CVE-2020-28026: Truncamiento e inserción de cadena en la función spool_read_header();
- CVE-2020-28019: Fallo al resetear el puntero de función tras un error BDAT;
- CVE-2020-28024: Desbordamiento a través del límite inferior del búfer en la función smtp_ungetc();
- CVE-2020-28018: Acceso al búfer después de haber sido liberado (use-after-free) en tls-openssl.c
- CVE-2020-28025: Lectura fuera del área de memoria asignada en la función pdkim_finish_bodyhash().
Vulnerabilidades locales:
- CVE-2020-28007: Ataque a través de un enlace simbólico en el directorio de logs de Exim;
- CVE-2020-28008: Ataques en el directorio de la cola;
- CVE-2020-28014: Creación de archivos arbitrarios;
- CVE-2021-27216: Eliminación de archivos arbitrarios;
- CVE-2020-28011: Desbordamiento de búfer en la función queue_run();
- CVE-2020-28010: Escritura fuera del búfer en la función main();
- CVE-2020-28013: Desbordamiento de búfer en la función parse_fix_phrase();
- CVE-2020-28016: Escritura fuera del búfer en la función parse_fix_phrase();
- CVE-2020-28015: Inserción de nueva línea en el encabezado del archivo de cola;
- CVE-2020-28012: Falta de la bandera close-on-exec para el canal no nombrado privilegiado;
- CVE-2020-28009: Desbordamiento de enteros en la función get_stdinput().
Fuente: opennet.ru
