{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Parchea Exim - vuelve a parchear. Nueva ejecuci\u00f3n remota de comandos en Exim 4.92 en una sola solicitud.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Parchea<\/p>\n

Recientemente, a principios del verano, surgieron llamados masivos para actualizar Exim a la versi\u00f3n 4.92 debido a la vulnerabilidad CVE-2019-10149 (Actualiza urgentemente exim a 4.92 \u2014 se est\u00e1n produciendo infecciones activas \/ Habr<\/a><\/noindex>). Y hace unos d\u00edas se descubri\u00f3 que el malware Sustes decidi\u00f3 aprovechar esta vulnerabilidad.<\/p>\n

Ahora, todos los que se actualizaron de emergencia pueden nuevamente \u00abalegrarse\u00bb: el 21 de julio de 2019, el investigador Zerons descubri\u00f3 una vulnerabilidad cr\u00edtica en Exim Mail Transfer agent (MTA) al usar TLS<\/strong> para versiones de 4.80 a 4.92.1<\/strong> incluidas, que permite la ejecuci\u00f3n de c\u00f3digo con privilegios elevados<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

Vulnerabilidad<\/h3>\n

La vulnerabilidad est\u00e1 presente al utilizar bibliotecas tanto GnuTLS como OpenSSL al establecer una conexi\u00f3n TLS segura.<\/p>\n

Seg\u00fan el desarrollador Heiko Schlittermann, el archivo de configuraci\u00f3n en Exim por defecto no usa TLS, sin embargo, muchas distribuciones durante la instalaci\u00f3n crean los certificados necesarios e incluyen la conexi\u00f3n segura. Adem\u00e1s, las versiones m\u00e1s recientes de Exim establecen la opci\u00f3n tls_advertise_hosts=*<\/em> y generan los certificados necesarios.<\/p>\n

depende de la configuraci\u00f3n. La mayor\u00eda de las distribuciones lo habilitan por defecto, pero Exim necesita un certificado y una clave para funcionar como un servidor TLS. Probablemente las distribuciones crean un Cert durante la configuraci\u00f3n. Las versiones m\u00e1s recientes de Exim tienen la opci\u00f3n tls_advertise_hosts que por defecto es \u00ab*\u00bb y crean un certificado autofirmado si no se proporciona uno.<\/p><\/blockquote>\n

La propia vulnerabilidad radica en el manejo incorrecto de SNI (Server Name Indication, tecnolog\u00eda introducida en 2003 en el RFC 3546 para que un cliente solicite el certificado correcto para un nombre de dominio, La difusi\u00f3n del est\u00e1ndar TLS SNI \/ Blog de la empresa WEBO Group \/ Habr<\/a><\/noindex>) durante el apret\u00f3n de manos TLS. Un atacante solo necesita enviar un SNI que termine con una barra invertida (\u00ab\u00bb) y un car\u00e1cter nulo (\u00ab \u00bb).<\/p>\n

Investigadores de la empresa Qualys descubrieron un fallo en la funci\u00f3n string_printing(tls_in.sni), que consiste en un escape incorrecto de \u00ab\u00bb. Como resultado, se escribe una barra invertida en forma no escapada en el archivo de encabezados de print spool. Luego, este archivo con privilegios se lee mediante la funci\u00f3n spool_read_header(), lo que lleva a un desbordamiento de heap.<\/p>\n

Cabe se\u00f1alar que en este momento los desarrolladores de Exim han creado un PoC de la vulnerabilidad que permite la ejecuci\u00f3n de comandos en un servidor vulnerable remoto, pero a\u00fan no est\u00e1 disponible p\u00fablicamente. Debido a la simplicidad de explotaci\u00f3n del error, es solo cuesti\u00f3n de tiempo, y bastante corto.<\/strong><\/p>\n

Se puede consultar con un estudio m\u00e1s detallado de la empresa Qualys aqu\u00ed<\/a><\/noindex>.<\/p>\n

\"Parchea<\/p>\n

Uso de SNI en TLS<\/em><\/p>\n

N\u00famero de servidores p\u00fablicos potencialmente vulnerables<\/h3>\n

Seg\u00fan las estad\u00edsticas de un importante proveedor de hosting E-Soft Inc<\/strong> a 1 de septiembre, en los servidores alquilados, la versi\u00f3n 4.92 se usa en m\u00e1s del 70% de los hosts.<\/p>\n

Versi\u00f3n
\nN\u00famero de Servidores
\nPorcentaje<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Otras versiones
\n25568
\n5.04%<\/p>\n

Estad\u00edsticas de la empresa E-Soft Inc<\/em><\/p>\n

Si se consulta el motor de b\u00fasqueda Shodan<\/strong><\/a><\/noindex>, de 5,250,000 en la base de datos de servidores:<\/p>\n