{"id":55807,"date":"2020-01-29T00:00:00","date_gmt":"2020-01-28T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root"},"modified":"2020-02-18T14:03:57","modified_gmt":"2020-02-18T11:03:57","slug":"uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","title":{"rendered":"Vulnerabilit\u00e0 in OpenSMTPD, che consente l'esecuzione remota di codice con privilegi di root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nel progetto in fase di sviluppo del server di posta OpenBSD OpenSMTPD<\/a><\/noindex> identificata vulnerabilit\u00e0 critica<\/a><\/noindex> (CVE-2020-7247), che consente di eseguire comandi shell in remoto sul server con i diritti dell'utente root. La vulnerabilit\u00e0 \u00e8 stata identificata durante un audit di follow-up effettuato dalla societ\u00e0 Qualys Security (precedente audit di OpenSMTPD effettuato<\/a><\/noindex> nel 2015, mentre la nuova vulnerabilit\u00e0 \u00e8 presente dal maggio 2018). Il problema \u00e8 stato risolto<\/a><\/noindex> si trova nella versione OpenSMTPD 6.6.2. Si raccomanda a tutti gli utenti di installare urgentemente l'aggiornamento (per OpenBSD la correzione pu\u00f2 essere installata tramite syspatch).<\/p>\n

Sono stati suggeriti due metodi di attacco. Il primo metodo funziona nella configurazione predefinita di OpenSMTPD (ricezione delle richieste solo da localhost) e consente di sfruttare il problema localmente, quando l'attaccante ha la possibilit\u00e0 di accedere all'interfaccia di rete locale (loopback) sul server (ad esempio, nei sistemi di hosting). Il secondo metodo si manifesta nel caso in cui OpenSMTPD sia configurato per ricevere richieste di rete esterne (server di posta che riceve email esterne). I ricercatori hanno preparato un prototipo di exploit, che funziona con successo sia con la versione di OpenSMTPD inclusa in OpenBSD 6.6, sia con la versione portabile per altri sistemi operativi (testato su Debian Testing).<\/p>\n

Il problema \u00e8 causato da un errore nella funzione smtp_mailaddr(), chiamata per verificare la correttezza dei valori nei campi \u00abMAIL FROM\u00bb e \u00abRCPT TO\u00bb, che definiscono il mittente e il destinatario e vengono trasmessi durante la connessione con il server di posta. Per controllare la parte dell'indirizzo di posta che precede il simbolo \u00ab@\u00bb, in smtp_mailaddr() viene chiamata la funzione
\nvalid_localpart(), che considera ammissibili (MAILADDR_ALLOWED) i caratteri \u00ab!#$%&\u2019*?\/^`{|}~+-=_\u00bb, secondo i requisiti della RFC 5322. <\/p>\n

A tal fine, l'escaping della stringa viene effettuato nella funzione mda_expand_token(), che sostituisce solo i caratteri \u00ab!#$%&\u2019*?`{|}~\u00bb (MAILADDR_ESCAPE). La stringa preparata in mda_expand_token() viene utilizzata quando si invoca l'agente di consegna (MDA) tramite il comando 'execle(\u00ab\/bin\/sh\u00bb, \u00ab\/bin\/sh\u00bb, \u00ab-c\u00bb, mda_command,\u2026'. Nel caso in cui la lettera venga inserita in mbox tramite \/bin\/sh, verr\u00e0 eseguita la stringa \u00ab\/usr\/libexec\/mail.local -f %%{mbox.from} %%{user.username}\u00bb, dove il valore \u00ab%%{mbox.from}\u00bb include i dati escaped dal parametro \u00abMAIL FROM\u00bb.<\/p>\n

L'essenza della vulnerabilit\u00e0 \u00e8 che smtp_mailaddr() ha un errore logico che, in caso di invio di un dominio vuoto nell'email, restituisce un codice di controllo positivo, anche se la parte dell'indirizzo prima di \u00ab@\u00bb contiene caratteri non validi. Inoltre, durante la preparazione della stringa, la funzione mda_expand_token() non escapa tutti i possibili caratteri speciali della shell, ma solo quelli consentiti nell'indirizzo email. Pertanto, per eseguire il proprio comando \u00e8 sufficiente utilizzare nella parte locale dell'email il carattere \u00ab;\u00bb e uno spazio, che non fanno parte del set MAILADDR_ESCAPE e non vengono escapati. Ad esempio:<\/p>\n

$ nc 127.0.0.1 25<\/p>\n

HELO professor.falken
\n MAIL FROM:<;sleep 66;>
\n RCPT TO:<root>
\n DATA
\n .
\n QUIT<\/p>\n

Dopo questa sessione, OpenSMTPD eseguir\u00e0 un comando tramite shell durante la consegna in mbox <\/p>\n

\/usr\/libexec\/mail.local -f ;sleep 66; root<\/p>\n

Tuttavia, le possibilit\u00e0 di attacco sono limitate dal fatto che la parte locale dell'indirizzo non pu\u00f2 superare i 64 caratteri e i caratteri speciali \u2018$\u2019 e \u2018|\u2019 vengono sostituiti con \u00ab:\u00bb durante l'escaping. Per aggirare questo limite, viene sfruttato il fatto che il corpo della lettera viene passato dopo l'avvio di \/usr\/libexec\/mail.local tramite il flusso di input, ovvero, tramite operazioni sull'indirizzo, \u00e8 possibile avviare solo l'interprete dei comandi sh e utilizzare il corpo della lettera come un insieme di istruzioni. Dato che all'inizio della lettera sono specificati gli header SMTP di servizio, si propone di utilizzare la chiamata del comando read in un ciclo per passarli. L'exploit funzionante assume all'incirca questo aspetto:<\/p>\n

$ nc 192.168.56.143 25<\/p>\n

HELO professor.falken
\n MAIL FROM:<;for i in 0 1 2 3 4 5 6 7 8 9 a b c d;do read r;done;sh;exit 0;>
\n RCPT TO:<root@example.org>
\n DATA
\n #0
\n #1
\n …
\n #d
\n for i in W O P R; do
\n echo -n \u00ab($i) \u00bb && id || break
\n done > \/root\/x.\u2018id -u\u2019.$$
\n .
\n QUIT<\/p>\n

<\/a><\/noindex><\/p>\n

Fonte: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-7247), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c shell-\u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0432 \u0445\u043e\u0434\u0435 \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0433\u043e \u0430\u0443\u0434\u0438\u0442\u0430, \u043f\u0440\u043e\u0432\u0435\u0434\u0451\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Qualys Security (\u043f\u0440\u043e\u0448\u043b\u044b\u0439 \u0430\u0443\u0434\u0438\u0442 OpenSMTPD \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0441\u044f \u0432 2015 \u0433\u043e\u0434\u0443, \u0430 \u043d\u043e\u0432\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0441 \u043c\u0430\u044f 2018 \u0433\u043e\u0434\u0430). \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0435 OpenSMTPD 6.6.2. \u0412\u0441\u0435\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55807","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vulnerabilit\u00e0 in OpenSMTPD che consente l'esecuzione remota di codice con privilegi di root | ProHoster","description":"Nel progetto in sviluppo OpenBSD, \u00e8 stata identificata la","canonical_url":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 OpenSMTPD, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043a\u043e\u0434 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 root | ProHoster","og:description":"\u0412 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430","og:url":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-28T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:57+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55807","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:36:30","updated":"2022-10-09 15:09:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55807","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=55807"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55807\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=55807"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=55807"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=55807"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}