פגיעות ב-OpenSMTPD המאפשרת ביצוע קוד מרחוק עם הרשאות שורש

בשרת הדואר שפותח על ידי פרויקט OpenBSD OpenSMTPD מזוהה פגיעות קריטית (CVE-2020-7247), המאפשר לך לבצע מרחוק פקודות מעטפת בשרת עם זכויות משתמש שורש. הפגיעות זוהתה במהלך ביקורת חוזרת שבוצעה על ידי Qualys Security (ביקורת OpenSMTPD קודמת נערך בשנת 2015, והפגיעות החדשה קיימת מאז מאי 2018). בְּעָיָה חוסלו במהדורת OpenSMTPD 6.6.2. מומלץ לכל המשתמשים להתקין מיד את העדכון (עבור OpenBSD, ניתן להתקין את התיקון באמצעות syspatch).

שתי אפשרויות תקיפה מוצעות. האפשרות הראשונה פועלת בתצורת ברירת המחדל של OpenSMTPD (מקבלת בקשות רק מ-localhost) ומאפשרת לך לנצל את הבעיה באופן מקומי, כאשר התוקף מסוגל לגשת לממשק הרשת המקומית (לולאהבק) בשרת (לדוגמה, במערכות אירוח) . האפשרות השנייה מתרחשת כאשר OpenSMTPD מוגדר לקבל בקשות רשת חיצוניות (שרת דואר שמקבל דואר של צד שלישי). חוקרים הכינו אב טיפוס של ניצול שעובד בהצלחה הן עם גרסת OpenSMPD הכלולה ב-OpenBSD 6.6 והן עם גרסה ניידת למערכות הפעלה אחרות (שנערכה ב-Debian Testing).

הבעיה נגרמת משגיאה בפונקציה smtp_mailaddr() שנקראת לבדוק את נכונות הערכים בשדות "MAIL FROM" ו-"RCPT TO" המגדירים את השולח/נמען ומועברים במהלך החיבור עם שרת הדואר. כדי לבדוק את החלק של כתובת הדואר האלקטרוני שמופיע לפני הסמל "@", הפונקציה smtp_mailaddr() נקראת
valid_localpart(), שמקבל (MAILADDR_ALLOWED) את התווים "!#$%&'*/?^`{|}~+-=_", כנדרש על ידי RFC 5322.

במקרה זה, בריחה ישירה של המחרוזת מתבצעת בפונקציה mda_expand_token() אשר מחליפה רק את התווים "!#$%&'*?`{|}~" (MAILADDR_ESCAPE). לאחר מכן, השורה שהוכנה ב-mda_expand_token() משמשת בעת קריאה לסוכן המסירה (MDA) באמצעות הפקודה 'execle("/bin/sh", "/bin/sh", "-c", mda_command,...' במקרה של הצבת אותיות ל-mbox דרך /bin/sh, השורה "/usr/libexec/mail.local -f %%{mbox.from} %%{user.username}" מופעלת, שבה הערך "% {mbox.from}" כולל נתונים שנשלחו מהפרמטר "MAIL FROM".

המהות של הפגיעות היא של-smtp_mailaddr() יש שגיאה לוגית, שבגללה, אם דומיין ריק נשלח למייל, הפונקציה מחזירה קוד אימות מוצלח, גם אם החלק של הכתובת לפני "@" מכיל תווים לא חוקיים . יתרה מכך, בעת הכנת מחרוזת, הפונקציה mda_expand_token() אינה בורחת מכל התווים המיוחדים האפשריים של מעטפת, אלא רק תווים מיוחדים המותרים בכתובת הדוא"ל. לפיכך, כדי להפעיל את הפקודה שלך, זה מספיק להשתמש בסמל ";" בחלק המקומי של האימייל. ורווח, שאינם כלולים בערכת MAILADDR_ESCAPE ואינם בורחים. לדוגמה:

$nc 127.0.0.1 25

HELO professor.falken
דואר מ:<;sleep 66;>
RCPT אל:
נתונים
.
תיכנע

לאחר הפעלה זו, OpenSMTPD, כאשר יימסר ל-mbox, יפעיל את הפקודה דרך המעטפת

/usr/libexec/mail.local -f ;sleep 66; שורש

יחד עם זאת, אפשרויות התקיפה מוגבלות על ידי העובדה שהחלק המקומי של הכתובת אינו יכול לעלות על 64 תווים, והתווים המיוחדים '$' ו-'|' מוחלפים ב-":" בעת יציאה. כדי לעקוף מגבלה זו, אנו משתמשים בעובדה שגוף המכתב מועבר לאחר הפעלת /usr/libexec/mail.local דרך זרם הקלט, כלומר. על ידי מניפולציה של הכתובת, אתה יכול רק להפעיל את מתורגמן הפקודה sh ולהשתמש בגוף המכתב כמערכת של הוראות. מכיוון שכותרות SMTP של שירות מצוינות בתחילת האות, מומלץ להשתמש בפקודת הקריאה בלולאה כדי לדלג עליהן. ניצול עובד נראה בערך כך:

$nc 192.168.56.143 25

HELO professor.falken
דואר מ:<;for i in 0 1 2 3 4 5 6 7 8 9 abcd;do read r;done;sh;exit 0;>
RCPT אל:[מוגן בדוא"ל]>
נתונים
#0
#1
...
#d
עבור i ב-WOPR; לַעֲשׂוֹת
echo -n "($i) " && id || לשבור
בוצע > /root/x."`id -u`.""$$"
.
תיכנע

מקור: OpenNet.ru