დისტანციურად ექსპლუატირებადი დაუცველობა qmail ფოსტის სერვერზე

უსაფრთხოების მკვლევარები Qualys-დან აჩვენა შესაძლებლობა ექსპლუატაცია ხარვეზები qmail ფოსტის სერვერზე, ცნობილი ჯერ კიდევ 2005 წელს (CVE-2005-1513), მაგრამ დარჩა გაუხსნელი, რადგან qmail-ის ავტორი ამტკიცებდა, რომ არარეალური იყო სამუშაო ექსპლოიტის შექმნა, რომელიც შეიძლება გამოყენებულ იქნას ნაგულისხმევი კონფიგურაციის სისტემებზე თავდასხმისთვის. Qualys-მა შეძლო მოემზადა ექსპლოიტი, რომელიც უარყოფს ამ ვარაუდს და საშუალებას აძლევს სერვერზე დისტანციური კოდის შესრულებას, სპეციალურად შექმნილი შეტყობინების გაგზავნით.

პრობლემა გამოწვეულია stralloc_readyplus() ფუნქციის მთელი რიცხვის გადადინებით, რაც შეიძლება მოხდეს ძალიან დიდი შეტყობინების დამუშავებისას. ოპერაციისთვის საჭიროა 64-ბიტიანი სისტემა 4 გბ-ზე მეტი ვირტუალური მეხსიერებით. როდესაც დაუცველობა თავდაპირველად გაანალიზდა 2005 წელს, დანიელ ჯ. ბერნშტეინი ამტკიცებდა, რომ კოდში მოცემული ვარაუდი, რომ გამოყოფილი მასივის ზომა ყოველთვის 32-ბიტიანი მნიშვნელობის ფარგლებშია, ეფუძნება იმ ფაქტს, რომ არავინ აწვდის გიგაბაიტიან მეხსიერებას თითოეულ პროცესს. ბოლო 15 წლის განმავლობაში, სერვერებზე 64-ბიტიანმა სისტემებმა შეცვალა 32-ბიტიანი სისტემები და მიწოდებული მეხსიერების რაოდენობა და ქსელის გამტარუნარიანობა მკვეთრად გაიზარდა.

qmail პაკეტის შემსრულებლებმა გაითვალისწინეს ბერნშტაინის შენიშვნა და შეზღუდეს ხელმისაწვდომი მეხსიერება qmail-smtpd პროცესის დაწყებისას (მაგალითად, Debian 10-ში ლიმიტი დაყენებულია 7 მბ-ზე). მაგრამ Qualys-ის ინჟინრებმა დაადგინეს, რომ ეს საკმარისი არ არის და, qmail-smtpd-ის გარდა, შეიძლება განხორციელდეს დისტანციური შეტევა qmail-ლოკალურ პროცესზე, რომელიც შეუზღუდავი დარჩა ყველა შემოწმებულ პაკეტში. როგორც მტკიცებულება, მომზადდა ექსპლოიტის პროტოტიპი, რომელიც შესაფერისი იყო Debian პაკეტზე თავდასხმისთვის qmail-ით ნაგულისხმევ კონფიგურაციაში.
შეტევის დროს კოდის დისტანციური შესრულების ორგანიზებისთვის, სერვერს სჭირდება 4 გბ თავისუფალი ადგილი დისკზე და 8 გბ ოპერატიული მეხსიერება.
ექსპლოიტი საშუალებას გაძლევთ გაუშვათ ნებისმიერი ჭურვის ბრძანება სისტემაში ნებისმიერი მომხმარებლის უფლებებით, გარდა root და სისტემის მომხმარებლებისა, რომლებსაც არ აქვთ საკუთარი ქვედირექტორია “/home” დირექტორიაში (qmail-local პროცესი გაშვებულია უფლებებით ადგილობრივი მომხმარებლის, რომელზედაც ხორციელდება მიწოდება).

შეტევა ხორციელდება
ძალიან დიდი ფოსტის გაგზავნით, რამდენიმე სათაურის ხაზის ჩათვლით, დაახლოებით 4 GB და 576 მბ. ასეთი სტრიქონის დამუშავება qmail-local-ში იწვევს მთელი რიცხვის გადინებას ადგილობრივი მომხმარებლისთვის შეტყობინების მიწოდების მცდელობისას. მთელი რიცხვის გადადინება იწვევს მონაცემთა კოპირებისას ბუფერულ გადადინებას და მეხსიერების გვერდების libc კოდით გადაწერის შესაძლებლობას. გადაცემული მონაცემების განლაგების მანიპულირებით, ასევე შესაძლებელია "open()" ფუნქციის მისამართის გადაწერა, მისი ჩანაცვლება "system()" ფუნქციის მისამართით.

შემდეგ qmesearch()-ში qmail-local-ში გამოძახების პროცესში იხსნება ფაილი “.qmail-extension” open() ფუნქციის მეშვეობით, რაც იწვევს ფუნქციის რეალურ შესრულებას.
system(".qmail-extension"). მაგრამ ვინაიდან ფაილის „გაფართოების“ ნაწილი გენერირდება მიმღების მისამართის საფუძველზე (მაგალითად, „localuser-extension@localdomain“), თავდამსხმელებს შეუძლიათ მოაწყონ ბრძანების გაგზავნა, რათა მოხდეს მომხმარებლის „localuser-;command“ მითითება. ;@localdomain” როგორც შეტყობინების მიმღები.

კოდის ანალიზის დროს, ასევე გამოვლინდა ორი დაუცველობა დამატებით qmail-verify პატჩში, რომელიც არის Debian-ის პაკეტის ნაწილი. პირველი დაუცველობა (CVE-2020-3811) გაძლევთ გვერდის ავლით ელ.ფოსტის მისამართის დადასტურებას და მეორე (CVE-2020-3812) იწვევს ადგილობრივი ინფორმაციის გაჟონვას. კერძოდ, პირველი დაუცველობა საშუალებას გაძლევთ გვერდის ავლით გადაამოწმოთ ბრძანების გასაგზავნად ექსპლოიტში გამოყენებული მისამართის სისწორის გადამოწმება (დადასტურება არ მუშაობს დომენის გარეშე მისამართებზე, როგორიცაა „localuser-;command;“). მეორე დაუცველობა შეიძლება გამოყენებულ იქნას სისტემაში ფაილების და დირექტორიების არსებობის შესამოწმებლად, მათ შორის მხოლოდ root-ისთვის ხელმისაწვდომი (qmail-verify გაშვებები root უფლებებით), ადგილობრივი დამმუშავებლის პირდაპირი ზარის საშუალებით.

პრობლემის გადასაჭრელად ბერნშტეინმა რეკომენდაცია გაუწია qmail პროცესების გაშვებას ხელმისაწვდომი მეხსიერების სრული ლიმიტით (“softlimit -m12345678”), ამ შემთხვევაში პრობლემა იბლოკება. დაცვის ალტერნატიულ მეთოდად ასევე აღნიშნულია დამუშავებული შეტყობინების მაქსიმალური ზომის შეზღუდვა „control/databytes“ ფაილის საშუალებით (ნაგულისხმევად ის არ არის შექმნილი ნაგულისხმევი პარამეტრებით qmail რჩება დაუცველი). გარდა ამისა, "control/databytes" არ იცავს სისტემის მომხმარებლების ლოკალური თავდასხმებისგან, რადგან ლიმიტს ითვალისწინებს მხოლოდ qmail-smtpd.

პრობლემა გავლენას ახდენს პაკეტზე netqmail, შედის Debian საცავებში. ამ პაკეტისთვის მომზადებულია პატჩების ნაკრები, რომელიც აღმოფხვრის როგორც ძველ დაუცველობას 2005 წლიდან (მყარი მეხსიერების ლიმიტების დამატებით alloc() ფუნქციის კოდში) და ახალ პრობლემებს qmail-verify-ში. ცალ-ცალკე მომზადებული qmail-verify პაჩის განახლებული ვერსია. დეველოპერები ფილიალები notqmail მოამზადეს საკუთარი პატჩები ძველი პრობლემების დასაბლოკად და ასევე დაიწყეს მუშაობა კოდში ყველა შესაძლო მთელი რიცხვის გადადინების აღმოსაფხვრელად.

წყარო: opennet.ru