{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Patchato Exim \u2014 patchalo ancora una volta. Nuova Remote Command Execution in Exim 4.92 con una singola richiesta","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Patchato<\/p>\n

Recentemente, all'inizio dell'estate, sono emersi molti appelli per l'aggiornamento di Exim alla versione 4.92 a causa della vulnerabilit\u00e0 CVE-2019-10149 (Aggiornate urgentemente exim alla 4.92 \u2014 \u00e8 in corso un'infezione attiva \/ Habr<\/a><\/noindex>). E nei giorni scorsi \u00e8 emerso che il malware Sustes ha deciso di sfruttare questa vulnerabilit\u00e0.<\/p>\n

Ora tutti coloro che si sono aggiornati in fretta possono di nuovo \"gioire\": il 21 luglio 2019 il ricercatore Zerons ha scoperto una vulnerabilit\u00e0 critica in Exim Mail Transfer agent (MTA) quando utilizza TLS<\/strong> per le versioni da 4.80 a 4.92.1<\/strong> inclusa, che consente l'esecuzione remota di codice con privilegi elevati<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

Vulnerabilit\u00e0<\/h3>\n

La vulnerabilit\u00e0 \u00e8 presente quando si utilizzano librerie sia GnuTLS che OpenSSL durante l'installazione di una connessione TLS sicura.<\/p>\n

Secondo lo sviluppatore Heiko Schlittermann, il file di configurazione in Exim per impostazione predefinita non utilizza TLS, tuttavia molte distribuzioni durante l'installazione creano i certificati necessari e abilitano la connessione protetta. Inoltre, le versioni pi\u00f9 recenti di Exim impostano l'opzione tls_advertise_hosts=*<\/em> e generano i certificati necessari.<\/p>\n

dipende dalla configurazione. La maggior parte delle distribuzioni lo abilita per impostazione predefinita, ma Exim necessita di un certificato+chiave per funzionare come server TLS. Probabilmente le distribuzioni creano un certificato durante l'installazione. Le versioni pi\u00f9 recenti di Exim hanno l'opzione tls_advertise_hosts impostata su «*» e creano un certificato autofirmato se non ne viene fornito uno.<\/p><\/blockquote>\n

La vulnerabilit\u00e0 stessa risiede nella gestione scorretta di SNI (Server Name Indication, tecnologia introdotta nel 2003 nel RFC 3546 per richiedere al cliente il certificato corretto per il nome di dominio, Diffusione dello standard TLS SNI \/ Blog dell'azienda WEBO Group \/ Habr<\/a><\/noindex>) durante il handshake TLS. Un attaccante deve semplicemente inviare un SNI che termina con un backslash («») e un carattere nullo (» «).<\/p>\n

I ricercatori di Qualys hanno scoperto un bug nella funzione string_printing(tls_in.sni), che riguarda l'escapizzazione errata di «». Di conseguenza, viene registrato un backslash in forma non escapata nel file di intestazioni della stampa. Successivamente, questo file con privilegi elevati viene letto dalla funzione spool_read_header(), portando a un overflow nel heap.<\/p>\n

Va notato che finora gli sviluppatori di Exim hanno creato un PoC della vulnerabilit\u00e0 con l'esecuzione di comandi su un server vulnerabile remoto, ma al momento non \u00e8 disponibile pubblicamente. Data la semplicit\u00e0 di sfruttamento del bug, \u00e8 solo una questione di tempo e, per di pi\u00f9, piuttosto breve.<\/strong><\/p>\n

\u00c8 possibile consultare la ricerca pi\u00f9 dettagliata della societ\u00e0 Qualys qui<\/a><\/noindex>.<\/p>\n

\"Patchato<\/p>\n

Utilizzo di SNI in TLS<\/em><\/p>\n

Numero di server pubblici potenzialmente vulnerabili<\/h3>\n

Secondo le statistiche di un grande provider di hosting E-Soft Inc<\/strong> al 1 settembre, nei server affittati, la versione 4.92 \u00e8 utilizzata in oltre il 70% degli host.<\/p>\n

Version
\nNumero di server
\nPercentuale<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Altre versioni
\n25568
\n5.04%<\/p>\n

Statistiche dell'azienda E-Soft Inc<\/em><\/p>\n

Se si consulta il motore di ricerca Shodan<\/strong><\/a><\/noindex>, su un totale di 5.250.000 server nel database:<\/p>\n