Patched Exim - plástra aftur. Fresh Remote Command Execution í Exim 4.92 í einni beiðni

Nýlega, snemma sumars, voru útbreidd ákall um að Exim yrði uppfært í útgáfu 4.92 vegna CVE-2019-10149 varnarleysis (Uppfærðu Exim bráðlega í 4.92 - það er virk sýking / Sudo Null IT News). Og nýlega kom í ljós að Sustes spilliforritið ákvað að nýta sér þennan varnarleysi.

Nú geta allir þeir sem brýnt uppfærðu „gleðst“ aftur: 21. júlí 2019 uppgötvaði rannsóknarmaðurinn Zerons mikilvægan varnarleysi í Exim Mail Transfer agent (MTA) þegar TLS er notað fyrir útgáfur frá 4.80 4.92.1 upp innifalið, leyfa fjarstýringu keyra kóða með forréttindaréttindum (CVE-2019-15846).

Viðkvæmni

Varnarleysið er til staðar þegar bæði GnuTLS og OpenSSL bókasöfnin eru notuð við að koma á öruggri TLS tengingu.

Samkvæmt verktaki Heiko Schlittermann notar stillingarskráin í Exim ekki TLS sjálfgefið, en margar dreifingar búa til nauðsynleg skilríki meðan á uppsetningu stendur og gera örugga tengingu kleift. Nýrri útgáfur af Exim setja einnig upp möguleikann tls_advertise_hosts=* og búa til nauðsynleg vottorð.

fer eftir uppsetningu. Flestar dreifingar virkja það sjálfgefið, en Exim þarf vottorð+lykil til að virka sem TLS netþjónn. Sennilega búa Distros til vottorð við uppsetningu. Nýrri prófanir eru með tls_advertise_hosts valmöguleikann sem er sjálfgefið „*“ og búa til sjálfundirritað vottorð, ef ekkert er gefið upp.

Varnarleysið sjálft felst í rangri vinnslu á SNI (Server Name Indication, tækni sem kynnt var árið 2003 í RFC 3546 fyrir viðskiptavin til að biðja um rétt vottorð fyrir lén, Dreifing TLS SNI staðalsins / WEBO Group Blog / Sudo Null IT News) meðan á TLS handabandi stendur. Árásarmaður þarf bara að senda SNI sem endar með skástrik ("") og núllstaf (" ").

Vísindamenn frá Qualys hafa uppgötvað villu í string_printing(tls_in.sni) aðgerðinni, sem felur í sér ranga sleppi á „“. Afleiðingin er sú að bakskásturinn er skrifaður ósleppt í hausskrána fyrir prentspólu. Þessi skrá er síðan lesin með forréttindaréttindum með spool_read_header() aðgerðinni, sem leiðir til hrúguflæðis.

Það er athyglisvert að í augnablikinu hafa Exim verktaki búið til PoC af varnarleysi með framkvæmd skipana á ytri viðkvæmum netþjóni, en það er ekki enn aðgengilegt almenningi. Vegna þess hve auðvelt er að nýta villuna er þetta bara spurning um tíma og frekar stutt.

Nánari rannsókn Qualys er að finna hér.

Notkun SNI í TLS

Fjöldi hugsanlega viðkvæmra opinberra netþjóna

Samkvæmt tölfræði frá stórum hýsingaraðila E-Soft Inc frá og með 1. september, á leigðum netþjónum, er útgáfa 4.92 notuð í meira en 70% gestgjafa.

útgáfa
Fjöldi netþjóna
Hlutfall

4.92.1
6471
1.28%

4.92
376436
74.22%

4.91
58179
11.47%

4.9
5732
1.13%

4.89
10700
2.11%

4.87
14177
2.80%

4.84
9937
1.96%

Aðrar útgáfur
25568
5.04%

Fyrirtækjaupplýsingar E-Soft Inc

Ef þú notar leitarvél shōdan, þá af 5,250,000 í gagnagrunni netþjónsins:

• um 3,500,000 nota Exim 4.92 (um 1,380,000 með SSL/TLS);
• yfir 74,000 með 4.92.1 (um 25,000 með SSL/TLS).

Þannig eru opinberlega þekktir og aðgengilegir Exim hugsanlega viðkvæmir netþjónar um það bil 1.5 milljónir.

Leitaðu að Exim netþjónum í Shodan

vernd

• Einfaldasti kosturinn, en ekki ráðlagður, er að nota ekki TLS, sem mun leiða til þess að tölvupóstskeyti eru áframsend á skýran hátt.
• Til að forðast misnotkun á varnarleysinu væri betra að uppfæra í útgáfuna Exim Internet Mailer 4.92.2.
• Ef það er ómögulegt að uppfæra eða setja upp pjattaða útgáfu, geturðu stillt ACL í Exim stillingunni fyrir valkostinn acl_smtp_mail með eftirfarandi reglum:

  # to be prepended to your mail acl (the ACL referenced
  # by the acl_smtp_mail main config option)
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}}
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}

Heimild: www.habr.com