El proyecto Zero Day Initiative (ZDI) ha revelado información sobre vulnerabilidades sin parches (día 0) (CVE-2023-42115, CVE-2023-42116, CVE-2023-42117) en el servidor de correo Exim, lo que le permite ejecutar de forma remota su código en el servidor con el proceso de derechos que acepta conexiones en el puerto de red 25. No se requiere autenticación para llevar a cabo el ataque.
La primera vulnerabilidad (CVE-2023-42115) es causada por un error en el servicio SMTP y está asociada con la falta de controles adecuados de los datos recibidos del usuario durante la sesión SMTP y utilizados para calcular el tamaño del búfer. Como resultado, el atacante puede lograr una escritura controlada de sus datos en un área de memoria más allá del límite del búfer asignado.
La segunda vulnerabilidad (CVE-2023-42116) está presente en el controlador de solicitudes NTLM y se debe a la copia de datos recibidos del usuario en un búfer de tamaño fijo sin las comprobaciones necesarias del tamaño de la información que se escribe.
La tercera vulnerabilidad (CVE-2023-42117) está presente en el proceso smtp que acepta conexiones en el puerto TCP 25 y es causada por una falta de validación de entrada, lo que puede llevar a que los datos proporcionados por el usuario se escriban en un área de memoria fuera del búfer asignado. .
Las vulnerabilidades están marcadas como día 0, es decir. siguen sin solucionarse, pero el informe de ZDI afirma que los desarrolladores de Exim fueron notificados de los problemas con antelación. El último cambio en el código base Exim se realizó hace dos días y aún no está claro cuándo se solucionarán los problemas (los fabricantes de distribución aún no han tenido tiempo de reaccionar ya que la información se reveló sin detalles hace varias horas). Actualmente, los desarrolladores de Exim se están preparando para lanzar una nueva versión 4.97, pero aún no hay información exacta sobre la hora de su publicación. El único método de protección mencionado actualmente es restringir el acceso al servicio SMTP basado en Exim.
Además de las vulnerabilidades críticas mencionadas anteriormente, también se ha revelado información sobre varios problemas menos peligrosos:
- CVE-2023-42118 es un desbordamiento de enteros en la biblioteca libspf2 al analizar macros SPF. La vulnerabilidad le permite iniciar la corrupción remota del contenido de la memoria y potencialmente puede usarse para organizar la ejecución de su código en el servidor.
- CVE-2023-42114 es una lectura fuera del búfer en el controlador NTLM. El problema puede provocar una fuga del contenido de la memoria del proceso que atiende las solicitudes de red.
- CVE-2023-42119 es una vulnerabilidad en el controlador dnsdb que provoca una pérdida de memoria en el proceso smtp.
Fuente: opennet.ru