תיקון אקסים - תיקון שוב. ביצוע פקודה מרחוק טרי ב-Exim 4.92 בבקשה אחת

לאחרונה, בתחילת הקיץ, היו קריאות נרחבות לעדכון Exim לגרסה 4.92 עקב הפגיעות CVE-2019-10149 (עדכן בדחיפות את Exim ל-4.92 - יש זיהום פעיל / Sudo Null IT News). ולאחרונה התברר שהתוכנה הזדונית Sustes החליטה לנצל את הפגיעות הזו.

כעת כל מי שעדכן בדחיפות יכול "לשמח" שוב: ב-21 ביולי 2019 גילה החוקר זרונס פגיעות קריטית ב Exim Mail Transfer Agent (MTA) בעת שימוש ב-TLS עבור גרסאות מ 4.80 4.92.1 עד כולל, המאפשר מרחוק בצע קוד עם זכויות מורשות (CVE-2019-15846).

פגיעות

הפגיעות קיימת בעת שימוש הן בספריות GnuTLS והן בספריות OpenSSL בעת יצירת חיבור TLS מאובטח.

לדברי המפתח Heiko Schlittermann, קובץ התצורה ב-Exim אינו משתמש ב-TLS כברירת מחדל, אך הפצות רבות יוצרות את האישורים הדרושים במהלך ההתקנה ומאפשרות חיבור מאובטח. גם גרסאות חדשות יותר של Exim מתקינות את האפשרות tls_advertise_hosts=* ולהפיק את האישורים הדרושים.

תלוי בתצורה. רוב ההפצות מאפשרות זאת כברירת מחדל, אך Exim זקוק לאישור+מפתח כדי לעבוד כשרת TLS. כנראה ש-Distros יוצרים אישור במהלך ההגדרה. ל-Exims החדשים יותר יש את האפשרות tls_advertise_hosts שברירת המחדל היא "*" ויוצרים אישור בחתימה עצמית, אם לא מסופק.

הפגיעות עצמה טמונה בעיבוד שגוי של SNI (Server Name Indication, טכנולוגיה שהוצגה בשנת 2003 ב-RFC 3546 כדי שלקוח יבקש את האישור הנכון עבור שם דומיין, הפצה של תקן TLS SNI / בלוג קבוצת WEBO / Sudo Null IT News) במהלך לחיצת יד של TLS. תוקף רק צריך לשלוח SNI שנגמר עם קו נטוי ("") ותו ריק (" ").

חוקרים מ-Qualys גילו באג בפונקציה string_printing(tls_in.sni), הכוללת בריחה לא נכונה של "". כתוצאה מכך, ההלוכסן האחורי נכתב ללא בריחה אל קובץ כותרות ההדפסה בסליל. לאחר מכן, הקובץ הזה נקרא עם זכויות מורשות על ידי הפונקציה spool_read_header(), מה שמוביל לגלישה בערימה.

ראוי לציין שכרגע מפתחי Exim יצרו PoC של פגיעויות עם ביצוע פקודות על שרת פגיע מרוחק, אך הוא עדיין לא זמין לציבור. בגלל קלות הניצול של הבאג, זה רק עניין של זמן, וקצר למדי.

ניתן למצוא מחקר מפורט יותר של Qualys כאן.

שימוש ב-SNI ב-TLS

מספר שרתים ציבוריים שעלולים להיות פגיעים

על פי נתונים סטטיסטיים של ספק אירוח גדול E-Soft Inc החל מה-1 בספטמבר, בשרתים שכורים, גרסה 4.92 נמצאת בשימוש ביותר מ-70% מהמארחים.

גִרְסָה
מספר השרתים
אָחוּז

4.92.1
6471
1.28%

4.92
376436
74.22%

4.91
58179
11.47%

4.9
5732
1.13%

4.89
10700
2.11%

4.87
14177
2.80%

4.84
9937
1.96%

גרסאות אחרות
25568
5.04%

סטטיסטיקת החברה של E-Soft Inc

אם אתה משתמש במנוע חיפוש Shodan, ואז מתוך 5,250,000 במסד הנתונים של השרת:

• כ-3,500,000 משתמשים ב-Exim 4.92 (כ-1,380,000 משתמשים ב-SSL/TLS);
• מעל 74,000 באמצעות 4.92.1 (כ-25,000 באמצעות SSL/TLS).

לפיכך, שרתים ידועים ונגישים של Exim שעלולים להיות פגיעים במספר בערך 1.5M.

חפש שרתי Exim בשודאן

הגנה

• האפשרות הפשוטה ביותר, אך לא מומלצת, היא לא להשתמש ב-TLS, מה שיגרום לכך שהודעות דואר אלקטרוני יועברו בצורה ברורה.
• כדי למנוע ניצול של הפגיעות, עדיף לעדכן לגרסה Exim Internet Mailer 4.92.2.
• אם אי אפשר לעדכן או להתקין גרסה מתוקנת, אתה יכול להגדיר ACL בתצורת Exim עבור האפשרות acl_smtp_mail עם הכללים הבאים:

  # to be prepended to your mail acl (the ACL referenced
  # by the acl_smtp_mail main config option)
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}}
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}

מקור: www.habr.com