{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Pat\u0161eeri Exim\u2019i \u2014 pat\u0161eeri veel kord. Uus Remote Command Execution Exim 4.92-s \u00fche p\u00e4ringu kaudu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Pat\u0161eeri<\/p>\n

Alles hiljuti, suve alguses, t\u00f5statusid massilised \u00fcleskutsed Eximi v\u00e4rskendamiseks versioonile 4.92 seoses haavatavusega CVE-2019-10149 (Kiirelt v\u00e4rskendage eximi 4.92-le \u2014 toimub aktiivne nakatumine \/ Habr<\/a><\/noindex>). Ja hiljuti selgus, et pahavara Sustes otsustas sellest haavatavusest kasu l\u00f5igata.<\/p>\n

N\u00fc\u00fcd v\u00f5ivad k\u00f5ik kiiresti uuendatud taas \"r\u00f5\u00f5mustada\": 21. juulil 2019 avastas uurija Zerons kriitilise haavatavuse Exim Mail Transfer agent (MTA) TLS-i kasutamisel<\/strong> versioonides alates 4.80 kuni 4.92.1<\/strong> kaasa arvatud, mis v\u00f5imaldab kaugjuhtimise teel t\u00e4ita koodi privileege omades<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

Haavatavus<\/h3>\n

Haavatavus esineb nii GnuTLS kui ka OpenSSL teegid kasutades, kui luuakse turvaline TLS-\u00fchendus.<\/p>\n

Arendaja Heiko Schlittermanni s\u00f5nul ei kasuta Eximi konfiguratsioonifail vaikimisi TLS-i, kuid paljud jaotused loovad installimise ajal vajalikud sertifikaadid ja v\u00f5imaldavad turvalist \u00fchendust. Samuti paigaldavad uuemad Eximi versioonid valiku tls_advertise_hosts=*<\/em> ja genereerivad vajalikud sertifikaadid.<\/p>\n

oleneb s\u00f5ltuvalt konfiguratsioonist. Enamik distribuutoreid lubab seda vaikimisi, kuid Exim vajab TLS-serverina toimimiseks sertifikaati ja v\u00f5tmeid. T\u00f5en\u00e4oliselt loovad distributsioonid seadistamise k\u00e4igus sertifikaadi. Uuematel Eximidel on tls_advertise_hosts valik, mille vaikeseade on \u00ab*\u00bb ja see loob iseallkirjastatud sertifikaadi, kui \u00fchtegi ei esitatud.<\/p><\/blockquote>\n

Haavatavus ise seisneb SNI (Server Name Indication, tehnoloogia, mis loodi 2003. aastal RFC 3546-s, et v\u00f5imaldada kliendil taotleda \u00f5iget sertifikaati domeeninime jaoks) vale t\u00f6\u00f6tlemises TLS SNI standardi levik \/ WEBO Groupi ajaveeb \/ Habr<\/a><\/noindex>) TLS-k\u00e4eulatuses. R\u00fcndajal on piisav saata SNI, mis l\u00f5peb tagasiviimisega (\u00ab\u00bb) ja null-s\u00fcmboliga (\u00bb \u00ab).<\/p>\n

Qualysy teadlased avastasid vea funktsioonis string_printing(tls_in.sni), mis seisneb vale escapesimise \u00ab\u00bb. Selle tulemusena kirjutatakse tagasiviit jaotamata kujul print spooli p\u00e4isefaili. Seej\u00e4rel loetakse see fail \u00f5iguste t\u00f5ttu funktsiooni spool_read_header() poolt, mis p\u00f5hjustab kuhja \u00fclet\u00e4itumise (heap overflow).<\/p>\n

Oluline on m\u00e4rkida, et Eximi arendajad on seni loonud PoC haavatavuse kaugk\u00e4ivitamiseks haavataval serveril, kuid see ei ole veel avalikult saadaval. Arvestades vea lihtsust, on see vaid ajak\u00fcsimus, ja t\u00f5en\u00e4oliselt \u00fcsna l\u00fchike.<\/strong><\/p>\n

Qualyse p\u00f5hjalikumat uurimist on v\u00f5imalik l\u00e4hemalt tutvuda siit<\/a><\/noindex>.<\/p>\n

\"Pat\u0161eeri<\/p>\n

SNI kasutamine TLS-is<\/em><\/p>\n

Potentsiaalselt haavatavate avalike serverite arv<\/h3>\n

\u00dche suurema hostimise teenuse pakkuja statistika E-Soft Inc<\/strong> 1. septembri seisuga kasutatakse renditud serverites versiooni 4.92 rohkem kui 70% hostidest.<\/p>\n

Versioon
\nServerite arv
\nProtsent<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Muud versioonid
\n25568
\n5.04%<\/p>\n

E-Soft Inc statistika<\/em><\/p>\n

Kui vaadata otsingumootorit Shodan<\/strong><\/a><\/noindex>, siis 5 250 000 serverist andmebaasis:<\/p>\n