Exim on patcheeritud — patcheeri veel kord. Uus Remote Command Execution Exim 4.92 ühe päringu kaudu

Hiljuti, suve alguses, algasid massilised kutsed Eximi versiooni 4.92 uuendamiseks seoses haavatavuse CVE-2019-10149 tõttu (Uuendage Exim kiiresti versioonile 4.92 — aktiivne nakatumine / Habr). Hiljuti selgus, et pahatahtlik Sustes otsustas sellest haavatavusest ära kasutada.

Nüüd saavad kõik kiiresti uuendatud jälle "rõõmustada": 21. juulil 2019 avastas teadlane Zerons kriitilise haavatavuse Exim Mail Transfer agent (MTA) TLS-i kasutamisel versioonide jaoks alates 4.80 kuni 4.92.1 k.a., mis võimaldab eemalt täita koodi privileegidega (CVE-2019-15846).

Haavatavus

Haavatavus esineb nii GnuTLS-i kui ka OpenSSL-i raamatukogude kasutamisel kaitstud TLS-ühenduse loomisel.

Arendaja Heiko Schlittermanni sõnul ei kasuta Eximi konfigureerimisfail vaikimisi TLS-i, kuid paljud jaotused loovad paigaldamisel vajalikud sertifikaadid ja aktiveerivad kaitstud ühenduse. Samuti paigaldatakse Eximi uuemates versioonides valik tls_advertise_hosts=* ja luuakse vajalikud sertifikaadid.

sõltub konfiguratsioonist. Enamik jaotusi lubab seda vaikimisi, kuid Exim vajab TLS-serverina töötamiseks sertifikaati ja võtme. Tõenäoliselt loovad jaotused paigaldamise ajal sertifikaadi. Uuemad Eximi versioonid omavad vaikimisi tls_advertise_hosts valikut "*" ja loovad isekirjutatud sertifikaadi, kui seda ei esitata.

Haavatavuse olemus seisneb SNI (Server Name Indication, tehnoloogia, mis loodi 2003. aastal RFC 3546, et klient saaks nõuda õiget sertifikaati domeeninime jaoks, TLS SNI standardi levitamine / WEBO Grupi blogi / Habr) TLS-käepigistuse käigus. Ründajal piisab, kui saata SNI, mis lõppeb tagasiviimise märkiga ("\") ja null-sümboliga (" ").

Qualys ettevõtte teadlased avastasid vea funktsioonis string_printing(tls_in.sni), mis seisneb vale tagasiviimise käsitlemises. Selle tulemusena kirjutatakse tagasiviit märk mitte-escaped vormis print spooli päise faili. Seejärel loetakse see fail privileegidega funktsiooni spool_read_header() kaudu, mis viib mälu ülevoolu (heap overflow).

Tuleb märkida, et praegu on Eximi arendajad loonud PoC haavatavuse kohta, mis võimaldab käske täita eemal haavataval serveril, kuid see ei ole veel avalikult kätetav. Kuna vea ärakasutamine on lihtne, on see vaid aja küsimus, ja üsna lühikese aja.

Qualyse põhjaliku uurimisega saab tutvuda siin.

SNI kasutamine TLS-is

Potentsiaalsete haavatavate avalike serverite arv

Suurte hostingu pakkujate statistika E-Soft Inc 1. septembri seisuga kasutab 4.92 versioon rohkem kui 70% renditud serveritest.

Version
Serverite arv
Protsent

4.92.1
6471
1.28%

4.92
376436
74.22%

4.91
58179
11.47%

4.9
5732
1.13%

4.89
10700
2.11%

4.87
14177
2.80%

4.84
9937
1.96%

Muud versioonid
25568
5.04%

E-Soft Inc statistika

Kui pöörduda otsingumootori poole Shodan, siis 5 250 000 serveri andmebaasist:

• umbes 3 500 000 kasutavad Exim 4.92 (umbes 1 380 000 SSL/TLS-iga);
• üle 74 000 kasutavad 4.92.1 (umbes 25 000 SSL/TLS-iga).

Seega on avalikult tuntud ja kergesti ligipääsetavate Exim potentsiaalselt haavatavate serverite arv umbes 1,5 miljonit.

Exim serverite otsing Shodanis

Kaitse

• Lihtsaim, kuid mitte soovitatav variant - mitte kasutada TLS-i, mis toob kaasa e-kirjade edastamise avatud vormis.
• Eelistatum variant haavatavuse vältimiseks on uuendada versioonile Exim Internet Mailer 4.92.2.
• Kui uuendamine või patšeeritud versiooni paigaldamine ei ole võimalik, saab Eximi konfiguratsioonis seada ACL valikule acl_smtp_mail järgnevate reeglitega:

  # to be prepended to your mail acl (the ACL referenced
  # by the acl_smtp_mail main config option)
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}}
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}

Allikas: habr.com