{"id":55807,"date":"2020-01-29T00:00:00","date_gmt":"2020-01-28T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root"},"modified":"2020-02-18T14:03:57","modified_gmt":"2020-02-18T11:03:57","slug":"uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","title":{"rendered":"Vulnerabilidad en OpenSMTPD permite ejecutar c\u00f3digo de forma remota con privilegios de root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

En el proyecto en desarrollo del servidor de correo OpenBSD OpenSMTPD<\/a><\/noindex> se ha detectado vulnerabilidad cr\u00edtica<\/a><\/noindex> (CVE-2020-7247), que permite ejecutar comandos shell de forma remota en el servidor con privilegios de usuario root. La vulnerabilidad fue identificada durante una auditor\u00eda repetida realizada por la empresa Qualys Security (la auditor\u00eda anterior de OpenSMTPD se llev\u00f3 a cabo<\/a><\/noindex> en 2015, y la nueva vulnerabilidad est\u00e1 presente desde mayo de 2018). El problema se solucion\u00f3<\/a><\/noindex> se encuentra en la versi\u00f3n de OpenSMTPD 6.6.2. Se recomienda a todos los usuarios que instalen urgentemente la actualizaci\u00f3n (para OpenBSD, la correcci\u00f3n se puede instalar a trav\u00e9s de syspatch).<\/p>\n

Se han propuesto dos variantes de ataque. La primera variante funciona en la configuraci\u00f3n predeterminada de OpenSMTPD (aceptando solicitudes solo desde localhost) y permite explotar el problema localmente, cuando el atacante tiene la capacidad de acceder a la interfaz de red local (loopback) en el servidor (por ejemplo, en sistemas de hosting). La segunda variante se manifiesta en caso de que OpenSMTPD est\u00e9 configurado para aceptar solicitudes de red externas (servidor de correo que recibe correo de terceros). Los investigadores han preparado un prototipo de exploit que funciona exitosamente tanto con la variante de OpenSMTPD incluida en OpenBSD 6.6 como con la versi\u00f3n port\u00e1til para otros sistemas operativos (realizado en Debian Testing).<\/p>\n

El problema es causado por un error en la funci\u00f3n smtp_mailaddr(), que se invoca para verificar la validez de los valores en los campos \u00abMAIL FROM\u00bb y \u00abRCPT TO\u00bb, que determinan el remitente\/destinatario y que se transmiten durante la conexi\u00f3n con el servidor de correo. Para comprobar la parte de la direcci\u00f3n de correo que se encuentra antes del s\u00edmbolo \u00ab@\u00bb, se llama a la funci\u00f3n valid_localpart() en smtp_mailaddr()
\n, la cual considera como s\u00edmbolos permitidos (MAILADDR_ALLOWED) \u00ab!#$%&\u2019*\\\/\u00bf^`{|}~+-=_\u00bb, de acuerdo con los requisitos de la RFC 5322. <\/p>\n

Al mismo tiempo, el escape directo de la cadena se realiza en la funci\u00f3n mda_expand_token(), que reemplaza solo los s\u00edmbolos \u00ab!#$%&\u2019*?`{|}~\u00bb (MAILADDR_ESCAPE). Posteriormente, la cadena preparada en mda_expand_token() se utiliza al invocar el agente de entrega (MDA) mediante el comando \u2018execle(\u00ab\/bin\/sh\u00ab, \u00ab\/bin\/sh\u00ab, \u00ab-c\u00ab, mda_command,\u2026\u2019. En el caso de que el correo se coloque en un mbox a trav\u00e9s de \/bin\/sh, se ejecuta la l\u00ednea \u00ab\/usr\/libexec\/mail.local -f %%{mbox.from} %%{user.username}\u00bb, donde el valor \u00ab%{mbox.from}\u00bb incluye datos escapados del par\u00e1metro \u00abMAIL FROM\u00bb.<\/p>\n

La esencia de la vulnerabilidad radica en que smtp_mailaddr() tiene un error l\u00f3gico, debido al cual, al pasar un dominio vac\u00edo en el correo electr\u00f3nico, la funci\u00f3n devuelve un c\u00f3digo de verificaci\u00f3n exitoso, incluso si la parte de la direcci\u00f3n antes de \u00ab@\u00bb contiene caracteres no v\u00e1lidos. Adem\u00e1s, al preparar la cadena en la funci\u00f3n mda_expand_token(), no se escapan todos los posibles caracteres especiales del shell, sino solo los caracteres especiales permitidos en la direcci\u00f3n de correo. Por lo tanto, para ejecutar su propio comando, basta con usar en la parte local del correo el s\u00edmbolo \u00ab;\u00bb y un espacio, que no est\u00e1n incluidos en el conjunto MAILADDR_ESCAPE y no se escapan. Por ejemplo:<\/p>\n

$ nc 127.0.0.1 25<\/p>\n

HELO professor.falken
\n MAIL FROM:<;sleep 66;>
\n RCPT TO:<root>
\n DATA
\n .
\n QUIT<\/p>\n

Despu\u00e9s de esta sesi\u00f3n, OpenSMTPD ejecutar\u00e1 un comando a trav\u00e9s de shell al entregar en mbox. <\/p>\n

\/usr\/libexec\/mail.local -f ;sleep 66; root<\/p>\n

De este modo, las posibilidades de ataque est\u00e1n limitadas en el sentido de que la parte local de la direcci\u00f3n no puede exceder los 64 caracteres, y los caracteres especiales \u2018$\u2019 y \u2018|\u2019 se reemplazan por \u00ab:\u00bb al ser escapados. Para eludir esta limitaci\u00f3n, se ha utilizado el hecho de que el cuerpo del correo se transmite despu\u00e9s de iniciar \/usr\/libexec\/mail.local a trav\u00e9s del flujo de entrada, es decir, mediante manipulaciones con la direcci\u00f3n se puede activar solo el int\u00e9rprete de comandos sh y utilizar el cuerpo del correo como un conjunto de instrucciones. Como al principio del correo se indican los encabezados SMTP de servicio, se sugiere utilizar la llamada al comando read en un ciclo para omitirlos. El exploit funcional adquiere aproximadamente esta forma:<\/p>\n

$ nc 192.168.56.143 25<\/p>\n

HELO professor.falken
\n MAIL FROM:<;for i in 0 1 2 3 4 5 6 7 8 9 a b c d;do read r;done;sh;exit 0;>
\n RCPT TO:<root@example.org>
\n DATA
\n #0
\n #1
\n \u2026
\n #d
\n for i in W O P R; do
\n echo -n \u00ab($i) \u00bb && id || break
\n done > \/root\/x.\u00abid -u\u00bb.\u00ab$$\u00bb
\n .
\n QUIT<\/p>\n

<\/a><\/noindex><\/p>\n

Fuente: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-7247), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c shell-\u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0432 \u0445\u043e\u0434\u0435 \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0433\u043e \u0430\u0443\u0434\u0438\u0442\u0430, \u043f\u0440\u043e\u0432\u0435\u0434\u0451\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Qualys Security (\u043f\u0440\u043e\u0448\u043b\u044b\u0439 \u0430\u0443\u0434\u0438\u0442 OpenSMTPD \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0441\u044f \u0432 2015 \u0433\u043e\u0434\u0443, \u0430 \u043d\u043e\u0432\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0441 \u043c\u0430\u044f 2018 \u0433\u043e\u0434\u0430). \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0435 OpenSMTPD 6.6.2. \u0412\u0441\u0435\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55807","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vulnerabilidad en OpenSMTPD que permite ejecutar c\u00f3digo remotamente con privilegios de root | ProHoster","description":"En el proyecto en desarrollo de OpenBSD, se ha identificado la vulnerabilidad en el servidor de correo OpenSMTPD.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 OpenSMTPD, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043a\u043e\u0434 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 root | ProHoster","og:description":"\u0412 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-28T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:57+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55807","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:36:30","updated":"2022-10-09 15:09:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/55807","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=55807"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/55807\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=55807"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=55807"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=55807"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}