Kaugel asuva haavatavuse qmail’i postiserveris

Turvauuringute töötajad Qualysest näitasime, kuidas töötada Windows Server 2019 Core'iga ja kuidas sellele GUI installida. võimaluse lekke haavatavused qmail’i postiserveris, kuulsast olenud teada alates 2005. aastast (CVE-2005-1513), kuid jäänud lahendamata, kuna qmail’i autor väitis, et töökindla eksploitatsioonivahendi loomine, mis võiks rünnata vaikekonfiguratsiooniga süsteeme, on ebatõenäoline. Qualysel õnnestus valmistada eksploit, mis tõestab selle oletuse vale ja võimaldab algatada kaugel käivitatavat koodi serveris, saates spetsiaalselt kujundatud sõnumi.

Probleem on põhjustatud täisarvu ülevoolust funktsioonis stralloc_readyplus(), mis võib tekkida väga suure sõnumi töötlemise ajal. Ekspluateerimiseks oli vajalik 64-bitine süsteem, millel on rohkem kui 4 GB virtuaalset mälu. Kui 2005. aastal uuris haavatavust, väitis Daniel J. Bernstein, et koodis olemasolev eeldus, et eraldatud massiivi suurus ei ületa 32-bitist väärtust, põhineb sellel, et keegi ei anna igale protsessile gigabaite mälu. Viimase 15 aasta jooksul on 64-bitised süsteemid serverites tõrjunud 32-bitiseid, mälu maht on oluliselt suurenenud ja võrgukiirus on kasvanud.

qmail’iga kaasnevad paketid võtsid Bernsteinile adresseeritud märkuse arvesse ja qmail-smtpd protsessi käivitamisel piirati kättesaadavat mälu (näiteks Debian 10 seades on piir 7MB). Kuid Qualyse insenerid avastasid, et see on ebapiisav ja lisaks qmail-smtpd-le on kaugrünnak võimalik ka qmail-local protsessi vastu, mis jäi kõikides kontrollitud pakettides piiranguteta. Tõendusena valmistati ette eksploitatsiooni prototüüp, mis sobib rünnakuks vaikekonfiguratsiooniga Debian paketti qmail’iga.
Kaugel käivitatava koodi korraldamiseks rünnaku käigus on serveris vajalik 4 GB vaba kettaruumi ja 8 GB RAM-i.
Eksploit võimaldab käivitada mis tahes shell-käsklusi mis tahes süsteemi kasutaja õigustes, välja arvatud root ja süsteemi kasutajad, kellel pole oma alamkausta kaustas "/home" (qmail-local protsess käivitatakse kohaliku kasutaja õigustes, kellele toimub kohaletoimetamine).

Rünnak toimub
läbi väga suure e-kirja saatmise, mis sisaldab mitmeid ridu päises, suurusega umbes 4GB ja 576MB. Sellise rea töötlemine qmail-local toob kaasa täisarvu ülevoolu, kui üritatakse kohaliku kasutaja jaoks sõnumit edastada. Täisarvu ülevool toob omakorda kaasa puhverserveri ülevoo andmete kopeerimise käigus ja võimaluse kirjutada ümber mälulehekülgi libc-koodiga. Andmete edastamise paigutuse manipuleerimise kaudu on võimalik ka kirjutada funktsiooni "open()" aadress, asendades selle funktsiooni aadressiga "system()".

Edasi, qmail-localis meetodi qmesearch() väljakutsumise käigus avatakse fail " .qmail-extension" funktsiooni open() kaudu, mis toob kaasa funktsiooni käivitamise
system(".qmail-extension"). Kuid kuna osa failist "extension" moodustatakse saaja aadressi põhjal (näiteks "localuser-extension@localdomain"), saavad ründajad korraldada käsu edastamise, määrates saajaks "localuser-;command;@localdomain".

Koodi analüüsi käigus avastati ka kaks haavatavust täiendavas qmail-verify plaastris, mis kuulub Debian'i paketti. Esimene haavatavus (CVE-2020-3811) võimaldab vältida e-posti aadressi kontrollimist, teine (CVE-2020-3812) toob kaasa kohaliku teabe leket. Eelkõige võimaldab esimene haavatavus vältida aadressi kehtivuse kontrolli, mis on kasutusele võetud käskude edastamiseks (kontroll ei tööta domainta aadresside puhul, nagu "localuser-;command;"). Teist haavatavust saab kasutada failide ja kataloogide olemasolu kontrollimiseks süsteemis, sealhulgas ainult root'ile kättesaadavate, kuna qmail-verify käivitatakse root'i õigustega, tehakse otse kohaliku töötleja juurde.

Probleemi vältimiseks soovitas Bernstein käivitada qmail-protsessid, seades üldise piiri saadaval olevale mälule ("softlimit -m12345678"), ja sel juhul probleem blokeeritakse. Alternatiivse kaitsemeetodina mainitakse ka töötlemiseks lubatava sõnumi maksimaalse suuruse piirangut läbi faili "control/databytes" (vaikimisi ei loo see qmaili vaikeseadistustes haavatavust). Lisaks ei kaitse "control/databytes" kohalike süsteemi kasutajate rünnakute eest, kuna piirangut arvestatakse ainult qmail-smtpd juures.

Probleem puudutab paketti netqmail, mis sisaldu on Debiani hoidlas. Selle paketi jaoks on ette valmistatud plekkide kogum, mis kõrvaldab nii vanad 2005. aasta haavatavused (lisa kaudu alloc() funktsiooni mälu piirangud) kui ka uued probleemid qmail-verify-s. Eristi on ette valmistatud uuendatud versioon patch'ist qmail-verify. Arendajad haru notqmail valmistasid ette oma plaastrid vanade probleemide blokeerimiseks ning alustasid tööd, et kõrvaldada kõik võimalikes koodis esinevad täisarvude ületäitumised.

Allikas: opennet.ru