Il progetto Zero Day Initiative (ZDI) ha rivelato informazioni su vulnerabilità non corrette (0-day) (CVE-2023-42115, CVE-2023-42116, CVE-2023-42117) nel server di posta Exim, che consentono l'esecuzione remota di codice sul server con i diritti del processo che accetta connessioni sulla porta di rete 25. Non è necessaria alcuna autenticazione per eseguire l'attacco.
La prima vulnerabilità (CVE-2023-42115) è causata da un errore nel servizio smtp ed è legata alla mancanza di opportune verifiche dei dati ricevuti dall'utente durante la sessione SMTP e utilizzati per calcolare la dimensione del buffer. Di conseguenza, l'attaccante può ottenere una registrazione controllata dei propri dati nell'area di memoria al di fuori del buffer allocato.
La seconda vulnerabilità (CVE-2023-42116) è presente nell'elaboratore delle richieste NTLM ed è causata dalla copia dei dati ricevuti dall'utente in un buffer di dimensioni fisse senza le necessarie verifiche sulla dimensione delle informazioni scritte.
La terza vulnerabilità (CVE-2023-42117) è presente nel processo smtp che accetta connessioni sulla porta TCP 25 ed è causata dall'assenza di controlli sui dati in ingresso, il che può portare alla scrittura dei dati forniti dall'utente nell'area di memoria al di fuori del buffer allocato.
Le vulnerabilità sono etichettate come 0-day, cioè rimangono non corrette, ma nel report ZDI si afferma che gli sviluppatori di Exim sono stati avvisati in anticipo dei problemi. L'ultima modifica al codice di Exim è stata effettuata due giorni fa e al momento non è chiaro quando i problemi saranno risolti (i produttori delle distribuzioni non hanno ancora potuto reagire, poiché l'informazione è stata rivelata senza dettagli poche ore fa). Attualmente, gli sviluppatori di Exim si stanno preparando per il rilascio di una nuova versione 4.97, ma non ci sono ancora dati precisi riguardo al tempo di pubblicazione. Come unica misura di protezione al momento si menziona la limitazione dell'accesso al servizio SMTP basato su Exim.
Oltre alle vulnerabilità critiche sopra menzionate, sono state rivelate anche alcune problematiche meno pericolose:
- CVE-2023-42118 — overflow intero nella libreria libspf2, che si manifesta durante l'analisi dei macro SPF. Questa vulnerabilità consente di avviare una corruzione remota del contenuto della memoria e potrebbe potenzialmente essere utilizzata per eseguire codice malevolo. server.
- CVE-2023-42114 — un errore che porta a una lettura dalla memoria al di fuori del buffer nel gestore NTLM. Il problema può causare una fuga di contenuti dalla memoria del processo che gestisce le richieste di rete.
- CVE-2023-42119 — una vulnerabilità nel gestore dnsdb che porta a una fuga di contenuti dalla memoria del processo smtp.
Fonte: opennet.ru
