კრიტიკული დაუცველობა Exim-ში, რომელიც საშუალებას აძლევს კოდის შესრულებას სერვერზე root პრივილეგიებით

Exim ფოსტის სერვერზე იდენტიფიცირებული კრიტიკული დაუცველობა (CVE-2019-10149), რამაც შეიძლება გამოიწვიოს დისტანციური კოდის შესრულება სერვერზე root უფლებებით სპეციალურად შემუშავებული მოთხოვნის დამუშავებისას. პრობლემის ექსპლუატაციის შესაძლებლობა აღინიშნა ვერსიებში 4.87-დან 4.91-მდე ან EXPERIMENTAL_EVENT ოფციით აშენებისას.

ნაგულისხმევ კონფიგურაციაში, თავდასხმა შეიძლება განხორციელდეს ადგილობრივი მომხმარებლის მიერ ზედმეტი გართულებების გარეშე, რადგან გამოიყენება "verify = recipient" ACL, რომელიც ასრულებს დამატებით შემოწმებას გარე მისამართებისთვის. დისტანციური შეტევა შეიძლება მოხდეს, როდესაც იცვლება პარამეტრები, მაგალითად, მოქმედებს როგორც მეორადი MX სხვა დომენისთვის, "verify=recipient" ACL-ის წაშლა ან გარკვეული ცვლილებები local_part_suffix-ში). დისტანციური შეტევა ასევე შესაძლებელია, თუ თავდამსხმელს შეუძლია სერვერთან კავშირი 7 დღის განმავლობაში ღიად შეინახოს (მაგალითად, გამოაგზავნოს ერთი ბაიტი წუთში დროის გვერდის ავლით). ამავდროულად, შესაძლებელია, რომ არსებობდეს შეტევის უფრო მარტივი ვექტორები პრობლემის დისტანციური ექსპლუატაციისთვის.

დაუცველობა გამოწვეულია მიმღების მისამართის არასწორი გადამოწმებით deliver_message() ფუნქციაში, რომელიც განსაზღვრულია /src/deliver.c ფაილში. მისამართის ფორმატირების მანიპულირებით, თავდამსხმელს შეუძლია მიაღწიოს თავისი მონაცემების ჩანაცვლებას ბრძანების არგუმენტებში, რომელიც გამოიძახა execv() ფუნქციის მეშვეობით root უფლებებით. ოპერაცია არ საჭიროებს კომპლექსური ტექნიკის გამოყენებას, რომლებიც გამოიყენება ბუფერული გადადინების ან მეხსიერების დაზიანებისთვის; სიმბოლოების მარტივი ჩანაცვლება საკმარისია.

პრობლემა დაკავშირებულია კონსტრუქციის გამოყენებასთან მისამართის კონვერტაციისთვის:

deliver_localpart = expand_string(
string_sprintf("${local_part:%s}", new->მისამართი));
მიწოდების_დომენი = გაფართოების_სტრიქონი(
string_sprintf("${domain:%s}", new->მისამართი));

Expand_string() ფუნქცია არის ზედმეტად რთული კომბინატორი, რომელიც მოიცავს ბრძანების „${run{command arguments}“ ამოცნობას, რაც იწვევს გარე დამმუშავებლის გაშვებას. ამრიგად, SMTP სესიის ფარგლებში თავდასხმისთვის, ადგილობრივ მომხმარებელს მხოლოდ უნდა გაუგზავნოს ბრძანება, როგორიცაა 'RCPT TO "username+${run{...}}@localhost"', სადაც localhost არის ერთ-ერთი ჰოსტი local_domains სიიდან. და მომხმარებლის სახელი არის არსებული ადგილობრივი მომხმარებლის სახელი.

თუ სერვერი მუშაობს ფოსტის რელედ, საკმარისია დისტანციურად გაგზავნოთ ბრძანება „RCPT TO „${run{...}}@relaydomain.com“, სადაც relaydomain.com არის ერთ-ერთი ჰოსტი, რომელიც ჩამოთვლილია relay_to_domains-ში. პარამეტრების განყოფილება. ვინაიდან Exim ნაგულისხმევად არ ტოვებს პრივილეგიურ რეჟიმს (deliver_drop_privilege = false), "${run{...}}"-ით გადაცემული ბრძანებები შესრულდება როგორც root.

აღსანიშნავია, რომ დაუცველობა იყო აღმოფხვრილი 4.92 გამოშვებაში, რომელიც გამოვიდა თებერვალში, ხაზგასმის გარეშე, რომ შესწორებამ შეიძლება გამოიწვიოს უსაფრთხოების პრობლემები. არ არსებობს საფუძველი იმის დასაჯერებლად, რომ Exim-ის დეველოპერების მიერ იყო დაუცველობის მიზანმიმართული დამალვა, რადგან პრობლემა დაფიქსირდა შესწორებები წარუმატებლობა, რომელიც ხდება არასწორი მისამართების გადაცემისას და დაუცველობა გამოვლინდა Qualys-ის მიერ Exim-ში ცვლილებების აუდიტის დროს.

წინა ვერსიების შესწორება, რომლებიც კვლავ გამოიყენება დისტრიბუციებში, ამჟამად ხელმისაწვდომია მხოლოდ როგორც პატჩი. წინა ფილიალების გამოსწორება პრობლემის მოსაგვარებლად დაგეგმილია 11 ივნისს. პაკეტის განახლებები მზად არის Debian, Ubuntu, openSUSE. Arch Linux и Fedora ისინი აწვდიან ვერსიას 4.92, რომელშიც პრობლემა არ ჩანს. RHEL და CentOS პრობლემა არ არის მგრძნობიარე, რადგან Exim არ შედის მათი რეგულარული პაკეტის საცავში.

წყარო: opennet.ru