एक्ज़िम में गंभीर भेद्यता जो रूट विशेषाधिकारों के साथ सर्वर पर कोड निष्पादित करने की अनुमति देती है

एक्ज़िम मेल सर्वर में पहचान की नाजुक भेद्यता (CVE-2019-10149), जो विशेष रूप से तैयार किए गए अनुरोध को संसाधित करते समय रूट अधिकारों के साथ सर्वर पर रिमोट कोड निष्पादन का कारण बन सकता है। समस्या के शोषण की संभावना 4.87 से 4.91 तक के संस्करणों में या EXPERIMENTAL_EVENT विकल्प के साथ निर्माण करते समय नोट की गई थी।

डिफ़ॉल्ट कॉन्फ़िगरेशन में, स्थानीय उपयोगकर्ता द्वारा अनावश्यक जटिलताओं के बिना हमला किया जा सकता है, क्योंकि "सत्यापित = प्राप्तकर्ता" एसीएल लागू होता है, जो बाहरी पते के लिए अतिरिक्त जांच करता है। जब सेटिंग्स बदली जाती हैं, तो रिमोट अटैक हो सकता है, जैसे किसी अन्य डोमेन के लिए द्वितीयक एमएक्स के रूप में कार्य करना, "सत्यापित = प्राप्तकर्ता" एसीएल को हटाना, या लोकल_पार्ट_सफिक्स में कुछ परिवर्तन)। यदि हमलावर सर्वर से कनेक्शन को 7 दिनों तक खुला रखने में सक्षम है (उदाहरण के लिए, टाइमआउट को बायपास करने के लिए प्रति मिनट एक बाइट भेजना) तो रिमोट हमला भी संभव है। साथ ही, यह संभव है कि समस्या के दूरस्थ शोषण के लिए सरल आक्रमण वैक्टर हों।

भेद्यता /src/deliver.c फ़ाइल में परिभाषित डिलीवर_मैसेज() फ़ंक्शन में प्राप्तकर्ता के पते के गलत सत्यापन के कारण होती है। एड्रेस फ़ॉर्मेटिंग में हेरफेर करके, एक हमलावर रूट अधिकारों के साथ execv() फ़ंक्शन के माध्यम से बुलाए गए कमांड के तर्कों में अपने डेटा के प्रतिस्थापन को प्राप्त कर सकता है। ऑपरेशन के लिए बफर ओवरफ्लो या मेमोरी भ्रष्टाचार के लिए उपयोग की जाने वाली जटिल तकनीकों के उपयोग की आवश्यकता नहीं होती है; सरल चरित्र प्रतिस्थापन पर्याप्त है।

समस्या पता रूपांतरण के लिए निर्माण के उपयोग से संबंधित है:

डिलीवर_लोकलपार्ट = एक्सपैंड_स्ट्रिंग(
string_sprintf('${local_part:%s}', new->पता));
डिलीवर_डोमेन = विस्तार_स्ट्रिंग(
string_sprintf('${डोमेन:%s}', नया->पता));

एक्सपेंड_स्ट्रिंग() फ़ंक्शन एक अत्यधिक जटिल कॉम्बिनर है, जिसमें कमांड "${रन{कमांड आर्ग्युमेंट्स}" को पहचानना शामिल है, जो एक बाहरी हैंडलर के लॉन्च की ओर ले जाता है। इस प्रकार, एक एसएमटीपी सत्र के भीतर हमला करने के लिए, एक स्थानीय उपयोगकर्ता को केवल 'आरसीपीटी टू "यूजरनेम+${रन{...}}@लोकलहोस्ट"' जैसा कमांड भेजने की जरूरत होती है, जहां लोकलहोस्ट लोकल_डोमेन सूची से होस्ट में से एक है, और उपयोगकर्ता नाम मौजूदा स्थानीय उपयोगकर्ता का नाम है।

यदि सर्वर मेल रिले के रूप में काम करता है, तो यह 'आरसीपीटी को "${run{...}}@relaydomain.com"' पर दूरस्थ रूप से भेजने के लिए पर्याप्त है, जहां रिलेडोमेन.कॉम, रिले_टू_डोमेन में सूचीबद्ध होस्ट में से एक है सेटिंग्स अनुभाग. चूंकि एक्ज़िम विशेषाधिकार मोड (डिलीवर_ड्रॉप_प्रिविलेज = गलत) को छोड़ने के लिए डिफ़ॉल्ट नहीं है, "${run{...}}" के माध्यम से पारित कमांड को रूट के रूप में निष्पादित किया जाएगा।

यह उल्लेखनीय है कि भेद्यता थी सफाया फरवरी में जारी 4.92 रिलीज़ में, इस बात पर ज़ोर दिए बिना कि सुधार से सुरक्षा समस्याएँ पैदा हो सकती हैं। यह मानने का कोई कारण नहीं है कि एक्ज़िम डेवलपर्स द्वारा जानबूझकर भेद्यता को छुपाया गया था, क्योंकि समस्या को ठीक कर दिया गया था सुधार विफलता जो तब होती है जब गलत पते प्रसारित किए जाते हैं, और एक्ज़िम में परिवर्तनों के ऑडिट के दौरान क्वालिस द्वारा भेद्यता की पहचान की गई थी।

वितरण में उपयोग जारी रखने वाले पिछले संस्करणों के लिए एक समाधान वर्तमान में केवल उपलब्ध है पैबंद. समस्या को ठीक करने के लिए पिछली शाखाओं के लिए सुधारात्मक रिलीज़ 11 जून को निर्धारित हैं। पैकेज अपडेट के लिए तैयार हैं डेबियन, Ubuntu, openSUSE. आर्क लिनक्स и फेडोरा वे संस्करण 4.92 की आपूर्ति करते हैं, जिसमें समस्या प्रकट नहीं होती है। आरएचईएल और सेंटओएस समस्या अतिसंवेदनशील नहीं, क्योंकि एक्ज़िम उनके नियमित पैकेज भंडार में शामिल नहीं है।

स्रोत: opennet.ru