O chionn ghoirid, tràth san t-samhradh, bha fiosan farsaing ann airson Exim ùrachadh gu dreach 4.92 air sgàth so-leòntachd CVE-2019-10149 (). Agus o chionn ghoirid thionndaidh e a-mach gun do cho-dhùin an malware Sustes brath a ghabhail air an so-leòntachd seo.
A-nis faodaidh a h-uile duine a rinn ùrachadh gu h-èiginneach “gàirdeachas a dhèanamh” a-rithist: air 21 Iuchar, 2019, lorg an neach-rannsachaidh Zerons so-leòntachd èiginneach ann an Àidseant Gluasad Post Exim (MTA) nuair a bhios tu a’ cleachdadh TLS airson tionndaidhean bho 4.80 gu 4.92.1 in-ghabhalach, a’ ceadachadh iomallach cuir an gnìomh còd le còraichean sochair ().
So-leòntachd
Tha an so-leòntachd an làthair nuair a bhios tu a’ cleachdadh gach cuid na leabharlannan GnuTLS agus OpenSSL nuair a thathar a’ stèidheachadh ceangal TLS tèarainte.
A rèir an leasaiche Heiko Schlittermann, chan eil am faidhle rèiteachaidh ann an Exim a’ cleachdadh TLS gu bunaiteach, ach bidh mòran sgaoilidhean a’ cruthachadh nan teisteanasan riatanach rè an stàlaidh agus a’ comasachadh ceangal tèarainte. Cuideachd bidh tionndaidhean nas ùire de Exim a 'stàladh an roghainn tls_advertise_hosts=* agus cruthaich na teisteanasan riatanach.
an urra ris an rèiteachadh. Tha a’ mhòr-chuid de distros ga chomasachadh gu bunaiteach, ach tha feum aig Exim air teisteanas + iuchair gus obrachadh mar fhrithealaiche TLS. Is dòcha gun cruthaich Distros Teisteanas rè stèidheachadh. Tha an roghainn tls_advertise_hosts aig Exims nas ùire a’ dol gu “*” agus cruthaich iad teisteanas fèin-shoidhnichte, mura h-eil gin ann.
Tha an so-leòntachd fhèin na laighe ann an giullachd ceàrr air SNI (Comharradh Ainm an Fhrithealaiche, teicneòlas a chaidh a thoirt a-steach ann an 2003 ann an RFC 3546 airson neach-dèiligidh an teisteanas ceart iarraidh airson ainm fearainn, ) aig àm crathadh làimhe TLS. Feumaidh neach-ionnsaigh dìreach crìoch SNI a chuir le cùl-taic ("") agus caractar null ("").
Tha luchd-rannsachaidh bho Qualys air bug a lorg anns a’ ghnìomh string_printing(tls_in.sni), a tha a’ toirt a-steach teicheadh gu ceàrr bho “”. Mar thoradh air an sin, tha am backslash air a sgrìobhadh gun a dhol chun fhaidhle header spool clò. Tha am faidhle seo an uairsin air a leughadh le còraichean sochair leis a’ ghnìomh spool_read_header(), a tha a’ leantainn gu cus thar-shruth.
Is fhiach a bhith mothachail gu bheil luchd-leasachaidh Exim an-dràsta air PoC de chugallachd a chruthachadh le bhith a’ cur an gnìomh òrdughan air frithealaiche so-leònte iomallach, ach chan eil e ri fhaighinn gu poblach fhathast. Air sgàth cho furasta ‘s a tha e brath a ghabhail air a’ bhiast, chan eil ann ach beagan ùine, agus gu math goirid.
Gheibhear sgrùdadh nas mionaidiche le Qualys .
A’ cleachdadh SNI ann an TLS
An àireamh de luchd-frithealaidh poblach a dh’ fhaodadh a bhith so-leònte
A rèir staitistig bho sholaraiche aoigheachd mòr Tha E-Soft Inc bhon t-Sultain 1, air frithealaichean air màl, tha dreach 4.92 air a chleachdadh ann am barrachd air 70% de luchd-aoigheachd.
tionndadh
Àireamh de luchd-frithealaidh
Percent
4.92.1
6471
1.28%
4.92
376436
74.22%
4.91
58179
11.47%
4.9
5732
1.13%
4.89
10700
2.11%
4.87
14177
2.80%
4.84
9937
1.96%
Tionndaidhean eile
25568
5.04%
Eachdraidh prìsean stoc E-Soft Inc
Ma chleachdas tu einnsean sgrùdaidh , an uairsin a-mach à 5,250,000 ann an stòr-dàta an fhrithealaiche:
- bidh timcheall air 3,500,000 a’ cleachdadh Exim 4.92 (mu 1,380,000 a’ cleachdadh SSL/TLS);
- thairis air 74,000 a’ cleachdadh 4.92.1 (mu 25,000 a’ cleachdadh SSL/TLS).
Mar sin, tha luchd-frithealaidh Exim a dh’ fhaodadh a bhith so-leònte a’ toirt àireamh mu dheidhinn 1.5M.
Lorg frithealaichean Exim ann an Shodan
Dìon
- Is e an roghainn as sìmplidh, ach nach eilear a’ moladh, gun a bhith a’ cleachdadh TLS, agus mar thoradh air sin thèid teachdaireachdan post-d a chuir air adhart gu soilleir.
- Gus brath a ghabhail air so-leòntachd, bhiodh e na b’ fheàrr ùrachadh chun dreach .
- Ma tha e eu-comasach tionndadh paiste ùrachadh no a stàladh, faodaidh tu ACL a shuidheachadh ann an rèiteachadh Exim airson an roghainn acl_smtp_mail leis na riaghailtean a leanas:
# to be prepended to your mail acl (the ACL referenced # by the acl_smtp_mail main config option) deny condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}} deny condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}
Source: www.habr.com