{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Exim je zakrpljen - zakrpi jo\u0161 jednom. Nova Remote Command Execution u Exim 4.92 kroz jedan zahtjev","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Exim<\/p>\n

Nedavno, po\u010detkom ljeta, pojavili su se masovni pozivi za a\u017euriranje Exim-a na verziju 4.92 zbog ranjivosti CVE-2019-10149 (Hitno a\u017eurirajte Exim na 4.92 \u2014 aktivno se \u0161iri infekcija \/ Habr<\/a><\/noindex>). A nedavno je otkriveno da je maliciozni Sustes odlu\u010dio iskoristiti ovu ranjivost.<\/p>\n

Sada se svi koji su hitno a\u017eurirali mogu ponovo \"radovati\": 21. srpnja 2019. istra\u017eiva\u010d Zerons otkrio je kriti\u010dnu ranjivost u Exim Mail Transfer agent (MTA) prilikom kori\u0161tenja TLS-a<\/strong> za verzije od 4.80 do 4.92.1<\/strong> uklju\u010divo, koja omogu\u0107ava daljinsko izvr\u0161avanje koda s privilegiranim pravima<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

Ranjivost<\/h3>\n

Ranjivost se javlja pri kori\u0161tenju biblioteka kao \u0161to su GnuTLS i OpenSSL prilikom uspostavljanja sigurnog TLS veze.<\/p>\n

Prema rije\u010dima programera Heika Schlittermanna, konfiguracijska datoteka u Eximu po defaultu ne koristi TLS, no mnoge distribucije tijekom instalacije stvaraju potrebne certifikate i uklju\u010duju sigurnu vezu. Tako\u0111er, novije verzije Exim-a postavljaju opciju tls_advertise_hosts=*<\/em> i generiraju potrebne certifikate.<\/p>\n

ovisi o konfiguraciji. Ve\u0107ina distribucija to omogu\u0107uje prema zadanim postavkama, ali Exim treba certifikat i klju\u010d da bi radio kao TLS poslu\u017eitelj. Vjerojatno distribucije stvaraju certifikat tijekom postavljanja. Noviji Eximi imaju opciju tls_advertise_hosts koja prema zadanim postavkama postavlja na «*» i stvaraju samopotpisani certifikat ako nijedan nije dostavljen.<\/p><\/blockquote>\n

Sama ranjivost odnosi se na nepravilno rukovanje SNI (Server Name Indication, tehnologija uvedena 2003. u RFC 3546 za zahtjev klijenta da dobije ispravan certifikat za naziv domene, \u0160irenje TLS SNI standarda \/ Blog kompanije WEBO Group \/ Habr<\/a><\/noindex>) tijekom TLS rukovanja. Napada\u010du je dovoljno poslati SNI koji zavr\u0161ava s obrnutim kosom crtom («») i nultim simbolom (» «).<\/p>\n

Istra\u017eiva\u010di iz Qualys-a otkrili su gre\u0161ku u funkciji string_printing(tls_in.sni), koja se sastoji od nepravilnog escape-a «». Kao rezultat toga, dolazi do zapisivanja obrnutog kosa u neescapiranom obliku u datoteku zaglavlja print spool. Ta datoteka se zatim s privilegiranim pravima \u010dita putem funkcije spool_read_header(), \u0161to dovodi do preljeva hrpe (heap overflow).<\/p>\n

Va\u017eno je napomenuti da su do sada programeri Exim-a stvorili PoC ranjivosti s izvr\u0161avanjem naredbi na udaljenom ranjivom serveru, ali u javnom pristupu on jo\u0161 nije dostupan. Zbog jednostavnosti iskori\u0161tavanja gre\u0161ke, ovo je samo pitanje vremena, i to prili\u010dno kratkog.<\/strong><\/p>\n

Detaljnije istra\u017eivanje kompanije Qualys mo\u017eete prona\u0107i ovdje<\/a><\/noindex>.<\/p>\n

\"Exim<\/p>\n

Kori\u0161tenje SNI u TLS-u<\/em><\/p>\n

Broj potencijalno ranjivih javnih poslu\u017eitelja<\/h3>\n

Prema statistikama velikog provajdera hostinga E-Soft Inc<\/strong> na 1. rujna, na iznajmljenim poslu\u017eiteljima verzija 4.92 se koristi na vi\u0161e od 70% hostova.<\/p>\n

Verzija
\nBroj poslu\u017eitelja
\nPostotak<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Ostale verzije
\n25568
\n5.04%<\/p>\n

Statistika tvrtke E-Soft Inc<\/em><\/p>\n

Ako se obratite tra\u017eilici Shodan<\/strong><\/a><\/noindex>, od 5,250,000 u bazi poslu\u017eitelja:<\/p>\n