{"id":82266,"date":"2020-05-20T19:42:07","date_gmt":"2020-05-20T17:42:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/udalyonno-ekspluatiruemaya-uyazvimost-v-pochtovom-servere-qmail"},"modified":"2020-05-20T19:42:07","modified_gmt":"2020-05-20T17:42:07","slug":"udalyonno-ekspluatiruemaya-uyazvimost-v-pochtovom-servere-qmail","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/udalyonno-ekspluatiruemaya-uyazvimost-v-pochtovom-servere-qmail","title":{"rendered":"Vuln\u00e9rabilit\u00e9 exploitable \u00e0 distance dans le serveur de messagerie qmail","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des chercheurs en s\u00e9curit\u00e9 de l'entreprise Qualys montr\u00e9<\/a><\/noindex> la possibilit\u00e9 d'exploitation<\/a><\/noindex> ont d\u00e9couvert des vuln\u00e9rabilit\u00e9s dans le serveur de messagerie qmail, bien connu<\/a><\/noindex> depuis 2005 (CVE-2005-1513), mais rest\u00e9e non corrig\u00e9e, car l'auteur de qmail soutenait qu'il \u00e9tait irr\u00e9aliste de cr\u00e9er un exploit fonctionnel pouvant \u00eatre utilis\u00e9 pour attaquer des syst\u00e8mes dans une configuration par d\u00e9faut. Qualys a r\u00e9ussi \u00e0 pr\u00e9parer un exploit qui contredit cette hypoth\u00e8se et permet d'initier une ex\u00e9cution de code \u00e0 distance sur le serveur en envoyant un message sp\u00e9cialement format\u00e9.<\/p>\n

Le probl\u00e8me est caus\u00e9 par un d\u00e9passement d'entier dans la fonction stralloc_readyplus(), qui peut survenir lors du traitement d'un message tr\u00e8s volumineux. Un syst\u00e8me 64 bits avec plus de 4 Go de m\u00e9moire virtuelle \u00e9tait n\u00e9cessaire pour l'exploiter. Lors de l'analyse initiale de la vuln\u00e9rabilit\u00e9 en 2005, Daniel Bernstein avait d\u00e9clar\u00e9 que l'hypoth\u00e8se pr\u00e9sente dans le code selon laquelle la taille du tableau allou\u00e9 tiendrait toujours dans une valeur 32 bits \u00e9tait fond\u00e9e sur le fait que personne ne fournirait des gigaoctets de m\u00e9moire \u00e0 chaque processus. Au cours des 15 derni\u00e8res ann\u00e9es, les syst\u00e8mes 64 bits sur les serveurs ont remplac\u00e9 les syst\u00e8mes 32 bits, avec un volume de m\u00e9moire fourni consid\u00e9rablement augment\u00e9 et une bande passante r\u00e9seau tr\u00e8s accrue. <\/p>\n

Les paquets accompagnant qmail ont pris en compte l'observation de Bernstein et, lors du lancement du processus qmail-smtpd, ont limit\u00e9 la m\u00e9moire disponible (par exemple, dans Debian 10, une limite de 7 Mo est fix\u00e9e). Cependant, les ing\u00e9nieurs de Qualys ont d\u00e9couvert que cela ne suffisait pas et qu'en plus de qmail-smtpd, une attaque \u00e0 distance pouvait \u00eatre r\u00e9alis\u00e9e sur le processus qmail-local, qui, dans tous les paquets v\u00e9rifi\u00e9s, est rest\u00e9 illimit\u00e9. Comme preuve, un prototype d'exploit adapt\u00e9 pour attaquer le paquet qmail fourni avec Debian dans la configuration par d\u00e9faut a \u00e9t\u00e9 pr\u00e9par\u00e9.
\nPour organiser l'ex\u00e9cution de code \u00e0 distance lors de l'attaque, il est n\u00e9cessaire d'avoir 4 Go d'espace libre sur le disque et 8 Go de RAM sur le serveur.
\nL'exploit permet d'ex\u00e9cuter n'importe quelle commande shell avec les privil\u00e8ges de n'importe quel utilisateur sur le syst\u00e8me, \u00e0 l'exception de root et des utilisateurs syst\u00e8me qui n'ont pas leur propre sous-dossier dans le r\u00e9pertoire \u00ab \/home \u00bb (le processus qmail-local est ex\u00e9cut\u00e9 avec les privil\u00e8ges de l'utilisateur local qui re\u00e7oit la livraison).<\/p>\n

L'attaque est r\u00e9alis\u00e9e
\nen envoyant un tr\u00e8s grand message \u00e9lectronique, incluant plusieurs lignes dans l'en-t\u00eate, d'une taille d'environ 4 Go et 576 Mo. Le traitement de cette cha\u00eene dans qmail-local entra\u00eene un d\u00e9bordement d'entier lors de la tentative de livraison du message \u00e0 l'utilisateur local. Le d\u00e9bordement d'entier conduit ensuite \u00e0 un d\u00e9bordement de tampon lors de la copie des donn\u00e9es et \u00e0 la possibilit\u00e9 d'\u00e9craser des pages m\u00e9moire avec le code libc. Gr\u00e2ce \u00e0 des manipulations de l'agencement des donn\u00e9es transmises, il est \u00e9galement possible de r\u00e9\u00e9crire l'adresse de la fonction \u00ab open() \u00bb, en la rempla\u00e7ant par l'adresse de la fonction \u00ab system() \u00bb. <\/p>\n

Ensuite, lors de l'appel de qmesearch() dans qmail-local, le fichier \u00ab .qmail-extension \u00bb est ouvert via la fonction open(), ce qui entra\u00eene effectivement l'ex\u00e9cution de la fonction
\nsystem(\u00ab .qmail-extension \u00bb). Cependant, comme une partie du fichier \u00ab extension \u00bb est construite \u00e0 partir de l'adresse du destinataire (par exemple, \u00ab localuser-extension@localdomain \u00bb), les attaquants peuvent organiser la transmission de la commande \u00e0 ex\u00e9cuter en sp\u00e9cifiant l'utilisateur \u00ab localuser-;command;@localdomain \u00bb comme destinataire du message. <\/p>\n

Lors de l'analyse du code, deux vuln\u00e9rabilit\u00e9s ont \u00e9galement \u00e9t\u00e9 identifi\u00e9es dans le patch suppl\u00e9mentaire qmail-verify, qui fait partie du package pour Debian. La premi\u00e8re vuln\u00e9rabilit\u00e9 (CVE-2020-3811<\/a><\/noindex>) permet de contourner la v\u00e9rification de l'adresse e-mail, et la seconde (CVE-2020-3812<\/a><\/noindex>) entra\u00eene une fuite d'informations locales. En particulier, la premi\u00e8re vuln\u00e9rabilit\u00e9 permet de contourner la v\u00e9rification de la validit\u00e9 de l'adresse utilis\u00e9e dans l'exploit pour transmettre la commande (la v\u00e9rification ne fonctionne pas pour les adresses sans domaine, telles que \u00ab localuser-;command; \u00bb). La deuxi\u00e8me vuln\u00e9rabilit\u00e9 peut \u00eatre utilis\u00e9e pour v\u00e9rifier l'existence de fichiers et de r\u00e9pertoires dans le syst\u00e8me, y compris ceux accessibles uniquement pour root (qmail-verify s'ex\u00e9cute avec les privil\u00e8ges de root), via un acc\u00e8s direct au gestionnaire local.<\/p>\n

Pour contourner le probl\u00e8me, Bernstein a recommand\u00e9 de lancer les processus qmail en \u00e9tablissant une limite g\u00e9n\u00e9rale sur la m\u00e9moire disponible (\u00ab softlimit -m12345678 \u00bb), ce qui bloque le probl\u00e8me. Une m\u00e9thode alternative de protection consiste \u00e9galement \u00e0 limiter la taille maximale des messages trait\u00e9s via le fichier \u00ab control\/databytes \u00bb (par d\u00e9faut, il n'est pas cr\u00e9\u00e9 avec les param\u00e8tres par d\u00e9faut, ce qui laisse qmail vuln\u00e9rable). De plus, \u00ab control\/databytes \u00bb ne prot\u00e8ge pas contre les attaques locales provenant des utilisateurs du syst\u00e8me, car la limite est prise en compte uniquement dans qmail-smtpd.<\/p>\n

Le probl\u00e8me concerne le package netqmail<\/a><\/noindex>, inclus dans les d\u00e9p\u00f4ts Debian. Pour ce paquet, un ensemble de correctifs a \u00e9t\u00e9 pr\u00e9par\u00e9, corrigeant \u00e0 la fois d'anciennes vuln\u00e9rabilit\u00e9s de 2005 (en ajoutant dans le code des limites strictes de m\u00e9moire \u00e0 la fonction alloc()) et de nouveaux probl\u00e8mes dans qmail-verify. S\u00e9par\u00e9ment pr\u00e9par\u00e9<\/a><\/noindex> une version mise \u00e0 jour du correctif qmail-verify. Les d\u00e9veloppeurs de la branche<\/a><\/noindex> notqmail<\/a><\/noindex> ont pr\u00e9par\u00e9 leurs correctifs pour bloquer les anciens probl\u00e8mes, et ont \u00e9galement lanc\u00e9 des travaux pour \u00e9liminer tous les d\u00e9bordements d'entiers possibles dans le code.<\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Qualys \u043f\u043e\u043a\u0430\u0437\u0430\u043b\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 qmail, \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u0435\u0449\u0451 \u0441 2005 \u0433\u043e\u0434\u0430 (CVE-2005-1513), \u043d\u043e \u043e\u0441\u0442\u0430\u0432\u0430\u0432\u0448\u0435\u0439\u0441\u044f \u043d\u0435\u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0439, \u0442\u0430\u043a \u043a\u0430\u043a \u0430\u0432\u0442\u043e\u0440 qmail \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u043b \u043e \u043d\u0435\u0440\u0435\u0430\u043b\u0438\u0441\u0442\u0438\u0447\u043d\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0433\u043e \u044d\u043a\u0441\u043f\u043b\u043e\u0438\u0442\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u043e\u0433 \u0431\u044b \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c\u0441\u044f \u0434\u043b\u044f \u0430\u0442\u0430\u043a\u0438 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e. \u0412 Qualys \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u0438\u0442\u044c \u044d\u043a\u0441\u043f\u043b\u043e\u0438\u0442 \u043e\u043f\u0440\u043e\u0432\u0435\u0440\u0433\u0430\u044e\u0449\u0438\u0439 \u0434\u0430\u043d\u043d\u043e\u0435 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0438\u0446\u0438\u0438\u0440\u043e\u0432\u0430\u0442\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-82266","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vuln\u00e9rabilit\u00e9 exploitable \u00e0 distance dans le serveur de messagerie qmail | ProHoster","description":"Des chercheurs en s\u00e9curit\u00e9 de la soci\u00e9t\u00e9 Qualys ont d\u00e9montr\u00e9 la possibilit\u00e9","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/udalyonno-ekspluatiruemaya-uyazvimost-v-pochtovom-servere-qmail","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u0443\u0435\u043c\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 qmail | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Qualys \u043f\u043e\u043a\u0430\u0437\u0430\u043b\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/udalyonno-ekspluatiruemaya-uyazvimost-v-pochtovom-servere-qmail","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-20T17:42:07+00:00","article:modified_time":"2020-05-20T17:42:07+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"82266","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:41:28","updated":"2022-09-27 18:41:59","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/82266","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=82266"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/82266\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=82266"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=82266"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=82266"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}