פגיעות הניתנת לניצול מרחוק בשרת הדואר של qmail

חוקרי אבטחה מ-Qualys הראה הזדמנות ניצול נקודות תורפה בשרת הדואר של qmail, המפורסם עוד בשנת 2005 (CVE-2005-1513), אך נותר ללא תיקון מכיוון שהמחבר של qmail טען שזה לא ריאלי ליצור ניצול עובד שניתן להשתמש בו כדי לתקוף מערכות בתצורת ברירת המחדל. Qualys הצליחה להכין ניצול שמפריך את ההנחה הזו ומאפשר ליזום ביצוע קוד מרחוק בשרת על ידי שליחת הודעה שתוכננה במיוחד.

הבעיה נגרמת על ידי הצפת מספר שלם בפונקציה stralloc_readyplus() שיכולה להתרחש בעת עיבוד הודעה גדולה מאוד. ההפעלה דרשה מערכת 64 סיביות עם יותר מ-4GB של זיכרון וירטואלי. כאשר הפגיעות נותחה במקור ב-2005, דניאל ג'יי ברנשטיין טען שההנחה בקוד שגודל המערך המוקצה הוא תמיד בטווח של 32 סיביות מבוססת על העובדה שאף אחד לא מספק ג'יגה-בייט של זיכרון לכל תהליך. במהלך 15 השנים האחרונות, מערכות 64 סיביות בשרתים החליפו מערכות 32 סיביות, וכמות הזיכרון המסופק ורוחב הפס של הרשת גדלו באופן דרמטי.

מנהלי חבילת qmail לקחו בחשבון את ההערה של ברנשטיין והגבילו את הזיכרון הזמין בעת ​​התחלת תהליך qmail-smtpd (לדוגמה, בדביאן 10 המגבלה מוגדרת ל-7MB). אבל מהנדסים מ-Qualys גילו שזה לא מספיק, ובנוסף ל-qmail-smtpd, ניתן לבצע התקפה מרחוק על תהליך qmail-local, שנותר ללא הגבלה בכל החבילות שנבדקו. כהוכחה, הוכן אב טיפוס מנצל שהתאים לתקיפת חבילת Debian עם qmail בתצורת ברירת המחדל.
כדי לארגן ביצוע קוד מרחוק במהלך התקפה, השרת דורש 4GB של שטח דיסק פנוי ו-8GB של זיכרון RAM.
הניצול מאפשר לך להריץ כל פקודות מעטפת עם הזכויות של כל משתמש במערכת, למעט משתמשי שורש ומערכת שאין להם ספריית משנה משלהם בספריית "/home" (תהליך qmail-local מופעל עם הזכויות של המשתמש המקומי שאליו מתבצעת המשלוח).

הפיגוע מתבצע
באמצעות שליחת הודעת דואר גדולה מאוד, הכוללת מספר שורות כותרות, בגודל של כ-4GB ו-576MB. עיבוד מחרוזת כזו ב-qmail-local גורם להצפת מספרים שלמים בעת ניסיון להעביר הודעה למשתמש המקומי. הצפת מספרים שלמים מובילה אז לגלישה במאגר בעת העתקת נתונים ואפשרות להחלפת דפי זיכרון בקוד libc. על ידי מניפולציה של הפריסה של הנתונים המועברים, ניתן גם לשכתב את הכתובת של הפונקציה "open()", ולהחליף אותה בכתובת של הפונקציה "system()".

לאחר מכן, בתהליך הקריאה ל-qmesearch() ב-qmail-local, הקובץ ".qmail-extension" נפתח באמצעות הפונקציה open() מה שמוביל לביצוע בפועל של הפונקציה
system(".qmail-extension"). אבל מכיוון שחלק ה"סיומת" של הקובץ נוצר על סמך כתובת הנמען (לדוגמה, "localuser-extension@localdomain"), התוקפים יכולים לארגן את שליחת הפקודה על ידי ציון המשתמש "localuser-;command ;@localdomain" בתור הנמען של ההודעה.

במהלך ניתוח הקוד, זוהו שתי נקודות תורפה גם בתיקון הנוסף של qmail-verify, שהוא חלק מהחבילה של דביאן. פגיעות ראשונה (CVE-2020-3811) מאפשר לך לעקוף את אימות כתובת הדוא"ל, והשני (CVE-2020-3812) מוביל לדליפה של מידע מקומי. בפרט, הפגיעות הראשונה מאפשרת לך לעקוף את אימות נכונות הכתובת המשמשת בניצול לשליחת פקודה (האימות אינו פועל עבור כתובות ללא דומיין, כגון "localuser-;command;"). ניתן להשתמש בפגיעות השנייה כדי לבדוק את נוכחותם של קבצים וספריות במערכת, כולל אלו הנגישים רק ל-root (qmail-verify פועל עם זכויות שורש), באמצעות קריאה ישירה למטפל המקומי.

כדי לעקוף את הבעיה, ברנשטיין המליץ ​​להפעיל תהליכי qmail עם מגבלה כוללת על הזיכרון הזמין ("softlimit -m12345678"), ובמקרה זה הבעיה נחסמת. כשיטת הגנה חלופית, מוזכרת גם הגבלת הגודל המרבי של ההודעה המעובדת באמצעות קובץ "control/databytes" (כברירת מחדל הוא לא נוצר עם הגדרות ברירת המחדל qmail נשאר פגיע). בנוסף, "control/databytes" אינו מגן מפני התקפות מקומיות של משתמשי מערכת, מכיוון שהמגבלה נלקחת בחשבון רק על ידי qmail-smtpd.

הבעיה משפיעה על החבילה netqmail, כלול במאגרי דביאן. ערכת תיקונים הוכנה לחבילה זו, המבטלת גם פגיעויות ישנות משנת 2005 (על ידי הוספת מגבלות זיכרון קשיח לקוד הפונקציה alloc()) וגם בעיות חדשות ב-qmail-verify. לְחוּד מוּכָן גרסה מעודכנת של תיקון qmail-verify. מפתחים ענפים notqmail הכינו טלאים משלהם כדי לחסום בעיות ישנות, וגם התחילו לעבוד כדי לחסל את כל ההצפה האפשרית של מספרים שלמים בקוד.

מקור: OpenNet.ru