OpenSMTPD માં નબળાઈઓ જે દૂરસ્થ અને સ્થાનિક રૂટ એક્સેસને મંજૂરી આપે છે

Qualys કંપની જાહેર કર્યું મેઇલ સર્વરમાં અન્ય રિમોટ ક્રિટિકલ નબળાઈ (CVE-2020-8794) OpenSMTPD, OpenBSD પ્રોજેક્ટ દ્વારા વિકસિત. જાન્યુઆરીના અંતમાં ઓળખાયેલ એકની જેમ નબળાઈ, નવો મુદ્દો રુટ વપરાશકર્તા અધિકારો સાથે સર્વર પર મનસ્વી શેલ આદેશોને દૂરસ્થ રીતે ચલાવવાનું શક્ય બનાવે છે. નબળાઈ નાબૂદ અંકમાં OpenSMTPD 6.6.4p1.

સમસ્યા કોડમાં બગને કારણે થાય છે જે રિમોટ મેઇલ સર્વર પર મેઇલ પહોંચાડે છે (કોડમાં નહીં કે જે ઇનકમિંગ કનેક્શનને હેન્ડલ કરે છે). હુમલો ક્લાયંટ બાજુ અને સર્વર બાજુ બંને પર શક્ય છે. ક્લાયન્ટ બાજુ પર, ઓપનએસએમટીપીડીના ડિફોલ્ટ રૂપરેખાંકનમાં હુમલો શક્ય છે, જેમાં ઓપનએસએમટીપીડી ફક્ત આંતરિક નેટવર્ક ઈન્ટરફેસ (લોકલહોસ્ટ) પર વિનંતીઓ સ્વીકારે છે અને બાહ્ય સર્વર્સને મેઈલ સંદેશાઓ મોકલે છે. નબળાઈનો ઉપયોગ કરવા માટે, તે પૂરતું છે કે, પત્રની ડિલિવરી દરમિયાન, ઓપનએસએમટીપીડી હુમલાખોર દ્વારા નિયંત્રિત મેઇલ સર્વર સાથે સત્ર સ્થાપિત કરે છે, અથવા હુમલાખોર ક્લાયન્ટ કનેક્શન (MITM અથવા DNS અથવા BGP દ્વારા હુમલા દરમિયાન રીડાયરેક્શન) માં ફાચર કરી શકે છે. ).

સર્વર-સાઇડ એટેક માટે, OpenSMTPD એ અન્ય મેઇલ સર્વર પાસેથી બાહ્ય નેટવર્ક વિનંતીઓ પ્રાપ્ત કરવા અથવા તૃતીય-પક્ષ સેવાઓ પ્રદાન કરવા માટે ગોઠવેલું હોવું આવશ્યક છે જે તમને મનસ્વી ઇમેઇલ પર વિનંતી મોકલવાની મંજૂરી આપે છે (ઉદાહરણ તરીકે, વેબસાઇટ્સ પર સરનામાં પુષ્ટિકરણ ફોર્મ્સ). ઉદાહરણ તરીકે, હુમલાખોર ઓપનએસએમટીપીડી સર્વર સાથે કનેક્ટ થઈ શકે છે અને ખોટો પત્ર (અસ્તિત્વમાં ન હોય તેવા વપરાશકર્તાને) મોકલી શકે છે, જે હુમલાખોરના સર્વરને ભૂલ કોડ (બાઉન્સ) સાથેનો પત્ર મોકલતા પ્રતિભાવ તરફ દોરી જશે. જ્યારે ઓપનએસએમટીપીડી હુમલાખોરના સર્વર પર સૂચના પહોંચાડવા માટે કનેક્ટ થાય છે ત્યારે હુમલાખોર નબળાઈનો ઉપયોગ કરી શકે છે. હુમલા દરમિયાન ઇન્જેક્ટ કરાયેલા શેલ આદેશો એવી ફાઇલમાં મૂકવામાં આવે છે જે રુટ અધિકારો સાથે ચલાવવામાં આવે છે જ્યારે OpenSMTPD પુનઃપ્રારંભ થાય છે, તેથી હુમલાખોરે OpenSMTPD પુનઃપ્રારંભ થાય તેની રાહ જોવી જોઈએ અથવા હુમલાને પૂર્ણ કરવા માટે OpenSMTPD ના ક્રેશની શરૂઆત કરવી જોઈએ.

કનેક્શન સ્થાપિત થયા પછી રિમોટ સર્વર દ્વારા પરત કરવામાં આવેલ મલ્ટિલાઈન પ્રતિસાદને પાર્સ કરવા માટેના કોડમાં mta_io() ફંક્શનમાં સમસ્યા હાજર છે (ઉદાહરણ તરીકે, "250-ENHANCEDSTATUSCODES" અને "250 HELP"). OpenSMTPD ગણતરી કરે છે કે પ્રથમ લાઇનમાં ત્રણ-અંકની સંખ્યા અને "-" અક્ષર દ્વારા અલગ કરાયેલ ટેક્સ્ટનો સમાવેશ થાય છે, અને બીજી લાઇનમાં ત્રણ-અંકની સંખ્યા અને સ્પેસ દ્વારા અલગ કરાયેલ ટેક્સ્ટ શામેલ છે. જો ત્રણ-અંકની સંખ્યાને બીજી લાઇનમાં સ્પેસ અને ટેક્સ્ટ દ્વારા અનુસરવામાં આવતું નથી, તો ટેક્સ્ટને વ્યાખ્યાયિત કરવા માટે વપરાયેલ પોઇન્ટર '\0' અક્ષરને અનુસરીને બાઇટ પર સેટ કરવામાં આવે છે અને અંત પછી ડેટાની નકલ કરવાનો પ્રયાસ કરવામાં આવે છે. બફર માં લીટી.

ઓપનબીએસડી પ્રોજેક્ટની વિનંતી પર, વપરાશકર્તાઓને તેમની સિસ્ટમ અપડેટ કરવાની મંજૂરી આપવા માટે નબળાઈના શોષણ વિશેની વિગતોનું પ્રકાશન 26મી ફેબ્રુઆરી સુધી વિલંબિત કરવામાં આવ્યું છે. ડિસેમ્બર 2015 થી કોડબેઝમાં સમસ્યા હાજર છે, પરંતુ મે 2018 થી રુટ વિશેષાધિકારો સાથે કોડ એક્ઝિક્યુશન પહેલાં શોષણ શક્ય બન્યું છે. સંશોધકોએ શોષણનો કાર્યકારી પ્રોટોટાઇપ તૈયાર કર્યો, જેનું ઓપનબીએસડી 6.6, ઓપનબીએસડી 5.9, ડેબિયન 10, ડેબિયન 11 (પરીક્ષણ) અને ફેડોરા 31 માટે ઓપનએસએમટીપીડી બિલ્ડ્સમાં સફળતાપૂર્વક પરીક્ષણ કરવામાં આવ્યું હતું.

OpenSMTPD માં પણ ઓળખાયેલ અન્ય નબળાઈ (CVE-2020-8793) જે સ્થાનિક વપરાશકર્તાને સિસ્ટમ પર કોઈપણ ફાઇલની પ્રથમ લાઇન વાંચવાની મંજૂરી આપે છે. ઉદાહરણ તરીકે, તમે /etc/master.passwd ની પ્રથમ લાઇન વાંચી શકો છો, જેમાં રૂટ વપરાશકર્તાનો પાસવર્ડ હેશ છે. જો આ ફાઇલ /var/spool/smtpd/ ડિરેક્ટરી જેવી જ ફાઇલ સિસ્ટમમાં સ્થિત હોય તો નબળાઈ તમને અન્ય વપરાશકર્તાની માલિકીની ફાઇલના સમગ્ર સમાવિષ્ટો વાંચવા માટે પણ પરવાનગી આપે છે. ઘણા Linux વિતરણો પર સમસ્યાનો ઉપયોગ કરી શકાતો નથી જ્યાં /proc/sys/fs/protected_hardlinks ની કિંમત 1 પર સેટ કરેલ છે.

સમસ્યા એ અપૂર્ણ નાબૂદીનું પરિણામ છે સમસ્યાઓ, 2015 માં Qualys દ્વારા હાથ ધરવામાં આવેલા ઓડિટ દરમિયાન અવાજ ઉઠાવ્યો હતો. હુમલાખોર “PATH=” ચલ સેટ કરીને “_smtpq” જૂથના અધિકારો સાથે તેના કોડનો અમલ હાંસલ કરી શકે છે. અને વર્તમાન નિર્દેશિકામાં મેકમેપ નામની સ્ક્રિપ્ટ મૂકીને (smtpctl ઉપયોગિતા સ્પષ્ટ રીતે પાથનો ઉલ્લેખ કર્યા વિના મેકમેપ ચલાવે છે). "_smtpq" જૂથની ઍક્સેસ મેળવીને, હુમલાખોર પછી રેસની સ્થિતિનું કારણ બની શકે છે (ઑફલાઇન ડિરેક્ટરીમાં મોટી ફાઇલ બનાવો અને SIGSTOP સિગ્નલ મોકલો) અને પ્રક્રિયા પૂર્ણ થાય તે પહેલાં, ઑફલાઇન ડિરેક્ટરીમાંની ફાઇલને હાર્ડ સાથે બદલો. સિમલિંક લક્ષ્ય ફાઇલ તરફ નિર્દેશ કરે છે જેના સમાવિષ્ટો વાંચવાની જરૂર છે.

નોંધનીય છે કે Fedora 31 માં નબળાઈ તમને તરત જ રુટ જૂથના વિશેષાધિકારો મેળવવા માટે પરવાનગી આપે છે, કારણ કે smtpctl પ્રક્રિયા setgid smtpq ફ્લેગને બદલે, setgid રુટ ફ્લેગથી સજ્જ છે. રુટ જૂથમાં પ્રવેશ મેળવીને, તમે /var/lib/sss/mc/passwd ના સમાવિષ્ટો પર ફરીથી લખી શકો છો અને સિસ્ટમમાં સંપૂર્ણ રૂટ ઍક્સેસ મેળવી શકો છો.

સોર્સ: opennet.ru