{"id":71318,"date":"2020-02-25T07:34:19","date_gmt":"2020-02-25T04:34:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root"},"modified":"2020-03-03T16:10:53","modified_gmt":"2020-03-03T13:10:53","slug":"uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","title":{"rendered":"Vulnerabilidades en OpenSMTPD que permiten obtener privilegios de root de forma remota y local","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La empresa Qualys ha identificado<\/a><\/noindex> otra vulnerabilidad cr\u00edtica remota (CVE-2020-8794) en el servidor de correo OpenSMTPD<\/a><\/noindex>, desarrollado por el proyecto OpenBSD. Al igual que la que se descubri\u00f3 a finales de enero vulnerabilidad<\/a><\/noindex>, el nuevo problema permite ejecutar comandos shell arbitrarios de forma remota en un servidor con privilegios de usuario root. La vulnerabilidad se solucion\u00f3<\/a><\/noindex> en la versi\u00f3n OpenSMTPD 6.6.4p1<\/a><\/noindex>. <\/p>\n

El problema es causado por un error en el c\u00f3digo que realiza la entrega de correo a un servidor de correo remoto (no en el c\u00f3digo que maneja las conexiones entrantes). El ataque puede ocurrir tanto del lado del cliente como del lado del servidor. Del lado del cliente, el ataque es posible en la configuraci\u00f3n predeterminada de OpenSMTPD, donde OpenSMTPD acepta solicitudes solo en la interfaz de red interna (localhost) y env\u00eda correos electr\u00f3nicos a servidores externos. Para explotar la vulnerabilidad, es suficiente que OpenSMTPD establezca una sesi\u00f3n con un servidor de correo controlado por el atacante durante la entrega de un mensaje o que el atacante pueda interceptar la conexi\u00f3n del cliente (MITM o redirecci\u00f3n durante ataques a trav\u00e9s de DNS o BGP).<\/p>\n

Para un ataque del lado del servidor, es necesario que OpenSMTPD est\u00e9 configurado para aceptar solicitudes de red externas de otros servidores de correo o para atender servicios de terceros que permitan enviar una solicitud a un correo electr\u00f3nico arbitrario (por ejemplo, formularios de confirmaci\u00f3n de direcciones en sitios web). Por ejemplo, un atacante puede conectarse al servidor OpenSMTPD y enviar un mensaje incorrecto (a un usuario inexistente), lo que provocar\u00e1 el env\u00edo de una respuesta con un c\u00f3digo de error (bounce) al servidor del atacante. El atacante puede explotar la vulnerabilidad en el momento en que OpenSMTPD se conecte para entregar una notificaci\u00f3n al servidor del atacante. Los comandos shell inyectados durante el ataque se colocan en un archivo que se ejecuta con privilegios de root al reiniciar OpenSMTPD, por lo que el atacante debe esperar el reinicio de OpenSMTPD o iniciar un fallo en OpenSMTPD.<\/p>\n

El problema est\u00e1 presente en la funci\u00f3n mta_io() en el c\u00f3digo para analizar la respuesta de m\u00faltiples l\u00edneas devuelta por el servidor remoto despu\u00e9s de establecer la conexi\u00f3n (por ejemplo, \u00ab250-ENHANCEDSTATUSCODES\u00bb y \u00ab250 HELP\u00bb). En OpenSMTPD, se supone que la primera l\u00ednea incluye un n\u00famero de tres d\u00edgitos y un texto, separados por el s\u00edmbolo \u00ab-\u00bb, y la segunda l\u00ednea un n\u00famero de tres d\u00edgitos y un texto, separados por un espacio. Si en la segunda l\u00ednea no sigue un espacio y texto tras el n\u00famero de tres d\u00edgitos, el puntero utilizado para determinar el texto se establece en el byte siguiente al car\u00e1cter '0' y se intenta copiar en el b\u00fafer de datos los que siguen al final de la l\u00ednea.<\/p>\n

A petici\u00f3n del proyecto OpenBSD, la publicaci\u00f3n de detalles sobre la explotaci\u00f3n de la vulnerabilidad se ha pospuesto hasta el 26 de febrero para dar a los usuarios la oportunidad de actualizar sus sistemas. El problema est\u00e1 presente en la base de c\u00f3digo desde diciembre de 2015, pero la explotaci\u00f3n para ejecutar c\u00f3digo con privilegios de root es posible desde mayo de 2018. Los investigadores han preparado un prototipo de exploit funcional que se ha probado con \u00e9xito en las compilaciones de OpenSMTPD para OpenBSD 6.6, OpenBSD 5.9, Debian 10, Debian 11 (testing) y Fedora 31. <\/p>\n

En OpenSMTPD tambi\u00e9n se ha detectado<\/a><\/noindex> hay otra vulnerabilidad (CVE-2020-8793) que permite a un usuario local leer la primera l\u00ednea de cualquier archivo en el sistema. Por ejemplo, se puede leer la primera l\u00ednea de \/etc\/master.passwd, que contiene el hash de la contrase\u00f1a del usuario root. La vulnerabilidad tambi\u00e9n permite leer todo el contenido de un archivo que pertenece a otro usuario si ese archivo se encuentra en la misma FS que el directorio \/var\/spool\/smtpd\/. Este problema no es explotable en muchas distribuciones de Linux donde el valor de \/proc\/sys\/fs\/protected_hardlinks est\u00e1 establecido en 1. <\/p>\n

El problema es consecuencia de la eliminaci\u00f3n incompleta de problemas<\/a><\/noindex>, mencionados durante el proceso de auditor\u00eda realizado por Qualys en 2015. Un atacante puede lograr la ejecuci\u00f3n de su c\u00f3digo con los derechos del grupo \u00ab_smtpq\u00bb al establecer la variable \u00abPATH=.\u00bb y colocar en el directorio actual un script llamado makemap (la utilidad smtpctl ejecuta makemap sin especificar expl\u00edcitamente la ruta). Al obtener acceso al grupo \u00ab_smtpq\u00bb, el atacante puede entonces provocar una condici\u00f3n de carrera (crear un archivo grande en el directorio offline y enviar la se\u00f1al SIGSTOP) y, antes de que se complete el procesamiento, reemplazar el archivo en el directorio offline por un enlace simb\u00f3lico duro que apunte al archivo objetivo cuyo contenido se necesita leer.<\/p>\n

Es notable que en Fedora 31, la vulnerabilidad permite obtener inmediatamente privilegios del grupo root, ya que el proceso smtpctl est\u00e1 marcado con el flag setgid root, en lugar de setgid smtpq. Al acceder al grupo root, se puede sobrescribir el contenido de \/var\/lib\/sss\/mc\/passwd y obtener acceso total como root en el sistema.<\/p>\n

<\/a><\/noindex><\/p>\n

Fuente: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Qualys \u0432\u044b\u044f\u0432\u0438\u043b\u0430 \u0435\u0449\u0451 \u043e\u0434\u043d\u0443 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u0443\u044e \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-8794) \u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD, \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD. \u041a\u0430\u043a \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u0432 \u043a\u043e\u043d\u0446\u0435 \u044f\u043d\u0432\u0430\u0440\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043d\u043e\u0432\u0430\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u0430\u0451\u0442 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b shell \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0435 OpenSMTPD 6.6.4p1. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432\u044b\u0437\u0432\u0430\u043d\u0430 \u043e\u0448\u0438\u0431\u043a\u043e\u0439 \u0432 \u043a\u043e\u0434\u0435, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u044e\u0449\u0435\u043c \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0443 \u043f\u043e\u0447\u0442\u044b \u043d\u0430 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0439 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-71318","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Vulnerabilidades en OpenSMTPD que permiten obtener privilegios de root de forma remota y local | ProHoster","description":"La empresa Qualys ha identificado otra vulnerabilidad cr\u00edtica remota (CVE-2020-8794) en el servidor de correo.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 OpenSMTPD, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0435 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 root | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Qualys \u0432\u044b\u044f\u0432\u0438\u043b\u0430 \u0435\u0449\u0451 \u043e\u0434\u043d\u0443 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u0443\u044e \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-8794) \u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-25T04:34:19+00:00","article:modified_time":"2020-03-03T13:10:53+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"71318","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:04:24","updated":"2022-09-28 08:07:40","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/71318","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=71318"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/71318\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=71318"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=71318"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=71318"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}