Patšeeri Exim’i — patšeeri veel kord. Uus Remote Command Execution Exim 4.92-s ühe päringu kaudu

Alles hiljuti, suve alguses, tõstatusid massilised üleskutsed Eximi värskendamiseks versioonile 4.92 seoses haavatavusega CVE-2019-10149 (Kiirelt värskendage eximi 4.92-le — toimub aktiivne nakatumine / Habr). Ja hiljuti selgus, et pahavara Sustes otsustas sellest haavatavusest kasu lõigata.

Nüüd võivad kõik kiiresti uuendatud taas "rõõmustada": 21. juulil 2019 avastas uurija Zerons kriitilise haavatavuse Exim Mail Transfer agent (MTA) TLS-i kasutamisel versioonides alates 4.80 kuni 4.92.1 kaasa arvatud, mis võimaldab kaugjuhtimise teel täita koodi privileege omades (CVE-2019-15846).

Haavatavus

Haavatavus esineb nii GnuTLS kui ka OpenSSL teegid kasutades, kui luuakse turvaline TLS-ühendus.

Arendaja Heiko Schlittermanni sõnul ei kasuta Eximi konfiguratsioonifail vaikimisi TLS-i, kuid paljud jaotused loovad installimise ajal vajalikud sertifikaadid ja võimaldavad turvalist ühendust. Samuti paigaldavad uuemad Eximi versioonid valiku tls_advertise_hosts=* ja genereerivad vajalikud sertifikaadid.

sõltub konfiguratsioonist. Enamik jaotusi lubab seda vaikimisi, kuid Exim vajab TLS serverina töötamiseks sertifikaati ja võtit. Tõenäoliselt genereerivad jaotused seadistamise käigus sertifikaadi. Uuemad Eximid on seadistatud nii, et tls_advertise_hosts valik on vaikimisi «*» ja genereerivad, kui ühtegi ei esitatud, iseallkirjastatud sertifikaadi.

Haavatavus ise seisneb SNI (Server Name Indication, tehnoloogia, mis loodi 2003. aastal RFC 3546-s, et võimaldada kliendil taotleda õiget sertifikaati domeeninime jaoks) vale töötlemises TLS SNI standardi levik / WEBO Groupi ajaveeb / Habr) TLS-ühenduse loomise ajal. Ründajale piisab SNI saatmisest, mis lõpeb tagasiviidatud märgiga («») ja nullmargiga (» «).

Qualys'i teadlased avastasid vea string_printing(tls_in.sni) funktsioonis, mille tõttu võetakse vale «» ja selle tulemusena kirjutatakse tagasiviidatud märk ebaõigesti print spooli päisefaili. Edasi loetakse see fail privileegide õigustega funktsiooni spool_read_header() kaudu, mis viib mälu ülevoolu (heap overflow).

Oluline on märkida, et Eximi arendajad on seni loonud PoC haavatavuse kaugkäivitamiseks haavataval serveril, kuid see ei ole veel avalikult saadaval. Arvestades vea lihtsust, on see vaid ajaküsimus, ja tõenäoliselt üsna lühike.

Qualyse põhjalikumat uurimist on võimalik lähemalt tutvuda siit.

SNI kasutamine TLS-is

Potentsiaalselt haavatavate avalike serverite arv

Ühe suurema hostimise teenuse pakkuja statistika E-Soft Inc 1. septembri seisuga kasutatakse renditud serverites versiooni 4.92 rohkem kui 70% hostidest.

Versioon
Serverite arv
Protsent

4.92.1
6471
1.28%

4.92
376436
74.22%

4.91
58179
11.47%

4.9
5732
1.13%

4.89
10700
2.11%

4.87
14177
2.80%

4.84
9937
1.96%

Muud versioonid
25568
5.04%

E-Soft Inc statistika

Kui vaadata otsingumootorit Shodan, siis 5 250 000 serverist andmebaasis:

• umbes 3 500 000 kasutab Eximi versiooni 4.92 (umbes 1 380 000 SSL/TLS-iga);
• üle 74 000 kasutab versiooni 4.92.1 (umbes 25 000 SSL/TLS-iga).

Seega on avalikult tuntud ja saadaval Eximiga potentsiaalselt haavatavaid servereid kokku umbes 1,5 miljonit.

Exim-serverite otsing Shodanis

Kaitse

• Lihtsaim, kuid mitte soovitatav variant on TLS-i mitte kasutamine, mis viib e-kirjade edastamiseni avatud kujul.
• Vigade ärahoidmiseks on soovitatav uuendada versioonile Exim Internet Mailer 4.92.2.
• Kui uuendamine või patchetu versiooni installimine ei ole võimalik, saab Eximi konfiguratsioonis seadistada ACL valikule acl_smtp_mail järgnevate reeglitega:

  # to be prepended to your mail acl (the ACL referenced
  # by the acl_smtp_mail main config option)
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}}
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}

Allikas: habr.com