プロホスト > ブログ > 行政 > Eximにパッチを適用しました - 再度パッチを適用しました。 Exim 4.92 での XNUMX 回のリクエストでの新しいリモート コマンドの実行

Eximにパッチを適用しました - 再度パッチを適用しました。 Exim 4.92 での XNUMX 回のリクエストでの新しいリモート コマンドの実行

Eximにパッチを適用しました - 再度パッチを適用しました。 Exim 4.92 での XNUMX 回のリクエストでの新しいリモート コマンドの実行

最近では、初夏に、CVE-4.92-2019 の脆弱性のため、Exim をバージョン 10149 に更新するよう広く求める声が上がりました (Exim を 4.92 に緊急アップデート - アクティブな感染が発生しています / Sudo Null IT ニュース）。 そして最近、Sustes マルウェアがこの脆弱性を利用しようとしていることが判明しました。

これで、緊急にアップデートしたすべての人が再び「喜ぶ」ことができます。21 年 2019 月 XNUMX 日、研究者の Zerons は、次の重大な脆弱性を発見しました。 TLS 使用時の Exim メール転送エージェント (MTA) からのバージョンの場合 4.80 4.92.1へ 包括的、リモートを許可 特権権限でコードを実行する (CVE-2019-15846).

脆弱性

この脆弱性は、安全な TLS 接続を確立する際に GnuTLS ライブラリと OpenSSL ライブラリの両方を使用する場合に存在します。

開発者の Heiko Schlittermann 氏によると、Exim の構成ファイルはデフォルトでは TLS を使用しませんが、多くのディストリビューションはインストール中に必要な証明書を作成し、安全な接続を可能にします。 Exim の新しいバージョンでもオプションがインストールされます tls_advertise_hosts=* そして必要な証明書を生成します。

構成によって異なります。 ほとんどのディストリビューションではデフォルトで有効になっていますが、Exim が TLS サーバーとして機能するには証明書とキーが必要です。 おそらくディストリビューションはセットアップ中に証明書を作成します。 新しい Exim では、tls_advertise_hosts オプションがデフォルトで「*」に設定されており、何も指定されていない場合は自己署名証明書を作成します。

この脆弱性自体は、SNI (Server Name Indication、クライアントがドメイン名の正しい証明書を要求するために 2003 年に RFC 3546 で導入された技術) の誤った処理にあります。 TLS SNI 標準の配布 / WEBO Group Blog / Sudo Null IT News) TLS ハンドシェイク中。 攻撃者は、バックスラッシュ ("") とヌル文字 (" ") で終わる SNI を送信するだけで済みます。

Qualys の研究者は、string_printing(tls_in.sni) 関数に、「」の誤ったエスケープに関係するバグを発見しました。 その結果、バックスラッシュはエスケープされずに印刷スプール ヘッダー ファイルに書き込まれます。 このファイルは、spool_read_header() 関数によって特権権限で読み取られ、ヒープ オーバーフローが発生します。

現時点では、Exim 開発者はリモートの脆弱なサーバー上でコマンドを実行する脆弱性の PoC を作成しましたが、まだ一般には公開されていないことに注意してください。 このバグが悪用されやすいため、それは時間の問題であり、非常に短期間です。

Qualys によるより詳細な調査はこちらをご覧ください。 ここで.

Eximにパッチを適用しました - 再度パッチを適用しました。 Exim 4.92 での XNUMX 回のリクエストでの新しいリモート コマンドの実行

TLS での SNI の使用

潜在的に脆弱なパブリックサーバーの数

大手ホスティングプロバイダーの統計によると 株式会社イーソフト 1 月 4.92 日現在、レンタル サーバーでは 70% 以上のホストでバージョン XNUMX が使用されています。


サーバーの数
パーセント

4.92.1
6471
視聴者の３８%が

4.92
376436
視聴者の３８%が

4.91
58179
視聴者の３８%が

4.9
5732
視聴者の３８%が

4.89
10700
視聴者の３８%が

4.87
14177
視聴者の３８%が

4.84
9937
視聴者の３８%が

他のバージョン
25568
視聴者の３８%が

E-Soft Inc 会社統計

検索エンジンを使用する場合 Shodan次に、サーバー データベース内の 5,250,000 のうち次のようになります。

  • 約 3,500,000 が Exim 4.92 を使用しています (約 1,380,000 が SSL/TLS を使用)。
  • 74,000 を使用すると 4.92.1 以上 (SSL/TLS を使用すると約 25,000)。

したがって、公に知られアクセス可能な Exim の潜在的に脆弱なサーバーの数は約 1.5万人.

Eximにパッチを適用しました - 再度パッチを適用しました。 Exim 4.92 での XNUMX 回のリクエストでの新しいリモート コマンドの実行

Shodan で Exim サーバーを検索する

保護

  • 最も簡単ですが、推奨されません。TLS を使用しないオプションです。これにより、電子メール メッセージが平文で転送されます。
  • 脆弱性の悪用を避けるために、バージョンを更新することがより望ましいでしょう。 Exim インターネット メーラー 4.92.2.
  • パッチ適用済みバージョンを更新またはインストールできない場合は、Exim 構成でオプションの ACL を設定できます。 acl_smtp_mail 次のルールで: 
    # to be prepended to your mail acl (the ACL referenced
# by the acl_smtp_mail main config option)
deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}}
deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}

出所： habr.com

コメントを追加します