פגיעות קריטית ב-Exim המאפשרת להפעיל קוד בשרת עם הרשאות שורש

בשרת דואר של Exim מזוהה קריטי פגיעות (CVE-2019-10149), מה שעלול להוביל לביצוע קוד מרחוק בשרת עם זכויות שורש בעת עיבוד בקשה בעלת מבנה מיוחד. האפשרות לניצול הבעיה צוינה בגרסאות מ-4.87 עד 4.91 כולל או בעת בנייה עם אפשרות EXPERIMENTAL_EVENT.

בתצורת ברירת המחדל, ההתקפה יכולה להתבצע ללא סיבוכים מיותרים על ידי משתמש מקומי, שכן מוחל ה-ACL "verify = recipient", אשר מבצע בדיקות נוספות עבור כתובות חיצוניות. התקפה מרחוק עלולה להתרחש כאשר הגדרות משתנות, כגון לפעול כ-MX משני עבור דומיין אחר, הסרת ה-ACL "verify=recipient" או שינויים מסוימים ב-local_part_suffix). התקפה מרחוק אפשרית גם אם התוקף מצליח לשמור על החיבור לשרת פתוח למשך 7 ימים (לדוגמה, שליחת בייט אחד לדקה כדי לעקוף פסק זמן). יחד עם זאת, ייתכן שקיימים וקטורי תקיפה פשוטים יותר לניצול מרחוק של הבעיה.

הפגיעות נגרמת על ידי אימות שגוי של כתובת הנמען בפונקציה deliver_message() המוגדרת בקובץ /src/deliver.c. על ידי מניפולציה של עיצוב הכתובות, תוקף יכול להשיג את החלפת הנתונים שלו לארגומנטים של פקודה הנקראת דרך הפונקציה execv() עם זכויות שורש. הפעולה אינה מצריכה שימוש בטכניקות מורכבות המשמשות להצפת מאגר או השחתת זיכרון; מספיקה החלפת תווים פשוטה.

הבעיה קשורה לשימוש במבנה להמרת כתובת:

delivery_localpart = expand_string(
string_sprintf("${local_part:%s}", new->address));
delivery_domain = expand_string(
string_sprintf("${domain:%s}", new->address));

הפונקציה expand_string() היא שילוב מסובך מדי, כולל זיהוי הפקודה "${run{command arguments}", שמובילה להפעלה של מטפל חיצוני. לפיכך, כדי לתקוף בתוך הפעלת SMTP, משתמש מקומי צריך רק לשלוח פקודה כמו 'RCPT TO "username+${run{...}}@localhost"', כאשר localhost הוא אחד המארחים מרשימת local_domains, ושם משתמש הוא שם של משתמש מקומי קיים.

אם השרת פועל כממסר דואר, מספיק לשלוח מרחוק את הפקודה 'RCPT TO "${run{...}}@relaydomain.com"', כאשר relaydomain.com הוא אחד המארחים הרשומים ב-relay_to_domains סעיף ההגדרות. מכיוון ש-Exim אינו ברירת המחדל למצב שחרור הרשאות (deliver_drop_privilege = false), פקודות המועברות באמצעות "${run{...}}" יבוצעו כ-root.

ראוי לציין כי הפגיעות הייתה חוסלו במהדורת 4.92 שפורסמה בפברואר, מבלי להדגיש שהתיקון עלול להוביל לבעיות אבטחה. אין סיבה להאמין שהייתה הסתרה מכוונת של הפגיעות על ידי מפתחי אקסים, שכן הבעיה תוקנה במהלך תיקונים כשל המתרחש כאשר כתובות שגויות משודרות, והפגיעות זוהתה על ידי Qualys במהלך ביקורת של שינויים ב-Exim.

תיקון עבור גרסאות קודמות שממשיכים לשמש בהפצות זמין כרגע רק בשם תיקון. מהדורות תיקון עבור סניפים קודמים לתיקון הבעיה מתוכננות ל-11 ביוני. עדכוני החבילות מוכנים דביאן, אובונטו, openSUSE. Arch Linux и פדורה הם מספקים גרסה 4.92, שבה הבעיה לא מופיעה. בעיית RHEL ו- CentOS לא רגישים, מכיוון ש-Exim אינו כלול במאגר החבילות הרגיל שלהם.

מקור: OpenNet.ru