פרטים על פגיעות קריטית ב-Exim נחשפו

יצא לאור שחרור מתקן Exim 4.92.2 עם חיסול של קריטי פגיעות (CVE-2019-15846), אשר בתצורת ברירת המחדל יכולה להוביל לביצוע קוד מרחוק על ידי תוקף עם הרשאות שורש. הבעיה מופיעה רק כאשר תמיכת TLS מופעלת ומנוצלת על ידי העברת אישור לקוח שתוכנן במיוחד או ערך שונה ל-SNI. פגיעות מזוהה מאת Qualys.

בעיה הווה במטפל לבריחה של תווים מיוחדים במחרוזת (string_interpret_escape() מ-string.c) ונגרם מכך שהתו '\' בסוף המחרוזת מתפרש לפני תו ה-null ('\0') ובורחת ממנו. בעת אסקייפ, הרצף '\' וקוד סוף השורה האפס הבא מטופלים כתו בודד והמצביע מועבר לנתונים מחוץ לשורה, אשר מטופלים כהמשך של השורה.

הקוד הקורא string_interpret_escape() מקצה מאגר עבור הניקוז בהתבסס על הגודל האמיתי, והמצביע החשוף מסתיים באזור מחוץ לגבולות המאגר. בהתאם לכך, כאשר מנסים לעבד מחרוזת קלט, נוצר מצב של קריאת נתונים מאזור מחוץ לגבולות המאגר המוקצה, וניסיון לכתוב מחרוזת ללא מוצא יכול להוביל לכתיבה מעבר לגבולות המאגר.

בתצורת ברירת המחדל, ניתן לנצל את הפגיעות על ידי שליחת נתונים שתוכננו במיוחד ל-SNI בעת יצירת חיבור מאובטח לשרת. ניתן לנצל את הבעיה גם על ידי שינוי ערכי Peerdn בתצורות המוגדרות לאימות אישור לקוח או בעת ייבוא ​​אישורים. התקפה באמצעות SNI ו-peerdn אפשרית החל מהשחרור Exim 4.80, שבו נעשה שימוש בפונקציה string_unprinting() לביטול הדפסת התוכן של peerdn ו-SNI.

אב טיפוס ניצול הוכן להתקפה באמצעות SNI, הפועל על ארכיטקטורות i386 ו-amd64 במערכות לינוקס עם Glibc. הניצול משתמש בשכבת נתונים על אזור הערימה, וכתוצאה מכך החלפת הזיכרון שבו מאוחסן שם קובץ היומן. שם הקובץ מוחלף ב-"/../../../../../../../../etc/passwd". לאחר מכן, מוחלף המשתנה עם כתובת השולח, שנשמר תחילה ביומן, המאפשר להוסיף משתמש חדש למערכת.

עדכוני חבילה עם תיקוני פגיעות שפורסמו על ידי הפצות דביאן, אובונטו, פדורה, SUSE/openSUSE и FreeBSD. בעיית RHEL ו- CentOS לא רגישים, מכיוון ש-Exim אינו כלול במאגר החבילות הרגיל שלהם (ב אפל обновление כבר נוצר, אבל כרגע לא ממוקם למאגר ציבורי). בקוד Exim הבעיה נפתרת עם one-liner תיקון, אשר משבית את אפקט ההימלטות של הקו הנטוי אם הוא נמצא בסוף השורה.

כפתרון עוקף לחסימת הפגיעות, אתה יכול להשבית את תמיכת TLS או להוסיף
סעיף ACL "acl_smtp_mail":

תנאי הכחשה = ${if eq{\\}{${substr{-1}{1}{$tls_in_sni}}}}
תנאי הכחשה = ${if eq{\\}{${substr{-1}{1}{$tls_in_peerdn}}}}

מקור: OpenNet.ru