Il progetto Zero Day Initiative (ZDI) ha rivelato informazioni su vulnerabilità non corrette (0-day) (CVE-2023-42115, CVE-2023-42116, CVE-2023-42117) nel server di posta Exim, che consentono l'esecuzione remota del proprio codice sul server con i diritti del processo che accetta connessioni sulla porta di rete 25. Non è necessaria alcuna autenticazione per eseguire l'attacco.
La prima vulnerabilità (CVE-2023-42115) è causata da un errore nel servizio smtp ed è legata alla mancanza di adeguati controlli sui dati ricevuti dall'utente durante una sessione SMTP e utilizzati per calcolare la dimensione del buffer. Di conseguenza, un attaccante può ottenere la registrazione controllata dei propri dati in un'area di memoria al di fuori del buffer allocato.
La seconda vulnerabilità (CVE-2023-42116) è presente nel gestore delle richieste NTLM ed è causata dalla copia dei dati ricevuti dall'utente in un buffer di dimensioni fisse senza i necessari controlli sulla dimensione delle informazioni scritte.
La terza vulnerabilità (CVE-2023-42117) è presente nel processo smtp che accetta connessioni sulla porta TCP 25 ed è causata dalla mancanza di verifica dei dati in ingresso, il che può portare alla registrazione dei dati forniti dall'utente in aree di memoria al di fuori del buffer allocato.
Le vulnerabilità sono contrassegnate come 0-day, cioè rimangono non corrette, ma il rapporto ZDI afferma che gli sviluppatori di Exim sono stati avvertiti in anticipo dei problemi. L'ultima modifica nel codice sorgente di Exim risale a due giorni fa e attualmente non è chiaro quando i problemi saranno risolti (i produttori delle distribuzioni non hanno avuto il tempo di reagire poiché le informazioni sono state divulgate senza dettagli alcune ore fa). Attualmente, gli sviluppatori di Exim si preparano al rilascio di una nuova versione 4.97, ma non ci sono dati precisi sulla tempistica della pubblicazione. Come unico metodo di protezione menzionato finora c'è la limitazione dell'accesso al servizio SMTP basato su Exim.
Oltre alle vulnerabilità critiche sopra menzionate, sono state rivelate informazioni su alcuni problemi meno gravi:
- CVE-2023-42118 — overflow di interi nella libreria libspf2, che si manifesta durante l'analisi dei macro SPF. La vulnerabilità consente di avviare un danno remoto al contenuto della memoria e può potenzialmente essere utilizzata per eseguire il proprio codice. server.
- CVE-2023-42114 — un errore che porta alla lettura da un'area di memoria al di fuori del buffer nel gestore NTLM. Il problema può portare a una fuga di contenuto della memoria del processo che gestisce le richieste di rete.
- CVE-2023-42119 — una vulnerabilità nel gestore dnsdb che porta a una fuga di contenuto della memoria del processo smtp.
Fonte: opennet.ru
