Kriitiline haavatavus Eximis, mis võimaldab käivitada koodi serveris root õigustega

Eximi posti server tuvastatud kriitiline haavatavus (CVE-2019-10149), mis võib viia koodi kaugse täitmiseni serveris root õigustes spetsiaalselt vormindatud päringu töötlemisel. Probleemi ärakasutamise võimalust on märgitud versioonides 4.87 kuni 4.91, sealhulgas või versioonide kogumisel EXPERIMENTAL_EVENT võimalusega.

Vaikimisi konfiguratsioonis võib rünnak toimuda ilma suuremate raskusteta kohalikul kasutajal, kuna kasutatakse ACL 'verify = recipient', mis viib läbi täiendavaid kontrollimist väliste aadresside jaoks. Kaugrünnaku teostamine on võimalik seadete muutmise korral, näiteks töö käigus teise domeeni sekundaarse MX-na, ACL 'verify = recipient' eemaldamise või teatud muudatuste korral local_part_suffix). Kaugrünnak on samuti võimalik, kui ründaja suudab hoida ühendust serveriga avatud seitse päeva (näiteks, saates ühe baiti minutis, et vältida ajutise katkestuse rikkumist). Samuti ei ole välistatud, et probleemi kaugkasutamiseks on olemas lihtsamad ründesuunad.

Haavatavus tuleneb saaja aadressi vale kontrollimise tõttu funktsioonis deliver_message(), mis on määratletud failis /src/deliver.c. Aadressi vormindamise manipuleerimise kaudu saab ründaja oma andmeid sisestada juurõigustega execv() funktsiooni kaudu kutsutud käsu argumentidesse. Tõrke ärakasutamiseks ei ole vajalik keerukate tehnikate rakendamine, mis on seotud puutükkide ülevoolu või mälu kahjustamisega, piisab lihtsalt sümbolite sisestamisest.

Probleem on seotud aadresside muutmiseks konstruktsiooni rakendamisega:

deliver_localpart = expand_string(
string_sprintf('${local_part:%s}', new->address));
deliver_domain = expand_string(
string_sprintf('${domain:%s}', new->address));

Funktsioon expand_string() on ülemääraselt keeruline kombain, sealhulgas tuvastab käsu '${run{käsk argumentides}', mis viib välist töötlejat käivitamiseni. Seega, rünnaku toimetamiseks SMTP sessiooni raames on kohaliku kasutaja jaoks piisav edastada käsk kuju 'RCPT TO "username+${run{…}}@localhost"', kus localhost on üks kohalike domeenide nimekirjast, ja username on olemasoleva kohaliku kasutaja nimi.

Kui server töötab meiliserverina, piisab, kui saata kaugelt käsk ‘RCPT TO «${run{…}}@relaydomain.com»‘, kus relaydomain.com on üks hoste, mis on loetletud relay_to_domains seadistuste sektsioonis. Kuna vaikimisi ei rakendata eximis privileegide langetamise režiimi (deliver_drop_privilege = false), siis käsud, mis saadetakse läbi «${run{…}}», täidetakse root õigustes.

Oluline on märkida, et haavatavus esines on kõrvaldatud väljaandmisel veebruaris 4.92, mitte pöörates tähelepanu sellele, et parandamine võib tekitada turvaprobleeme. Ei ole alust arvata, et Eximi arendajad kikitasid teadlikult haavatavust, kuna probleem lahendati parandus probleemi käigus, mis tekkis vale aadresside edastamisel, ja haavatavuse avastas Qualys saatel Eximi muudatusi.

Parandus vanadele versioonidele, mis jätkuvad jaotustes, on seni saadaval ainult kujul patch. Parandavaid väljalaskmisi vanadele harudele probleemide lahendamiseks on plaanitud 11. juuniks. Pakettide uuendused on ette valmistatud Debian, Ubuntu, openSUSE. Arch Linux ja Fedora toovad versiooni 4.92, kus probleem ei esine. RHEL ja CentOS probleem ei esine, kuna Exim ei kuulu nende vaikimisi pakettide hoidlasse.

Allikas: opennet.ru