დაუცველობა OpenSMTPD-ში, რომელიც საშუალებას აძლევს კოდის დისტანციურად შესრულებას, როგორც root

OpenBSD პროექტის მიერ შემუშავებულ ფოსტის სერვერში OpenSMTPD იდენტიფიცირებული კრიტიკული დაუცველობა (CVE-2020-7247), რომელიც საშუალებას გაძლევთ დისტანციურად შეასრულოთ shell ბრძანებები სერვერზე root მომხმარებლის უფლებებით. დაუცველობა გამოვლინდა Qualys Security-ის მიერ ჩატარებული ხელახალი აუდიტის დროს (OpenSMTPD-ის წინა აუდიტი გაიმართა 2015 წელს და ახალი დაუცველობა 2018 წლის მაისიდან გამოჩნდა). პრობლემა აღმოფხვრილი OpenSMTPD 6.6.2 გამოშვებაში. ყველა მომხმარებელს ვურჩევთ სასწრაფოდ დააინსტალირონ განახლება (OpenBSD-ისთვის პატჩი შეიძლება დაინსტალირდეს syspatch-ის საშუალებით).

შემოთავაზებულია თავდასხმის ორი ტიპი. პირველი ვარიანტი მუშაობს ნაგულისხმევ OpenSMTPD კონფიგურაციაში (მოთხოვნის მიღება მხოლოდ ლოკალჰოსტიდან) და საშუალებას გაძლევთ გამოიყენოთ პრობლემა ლოკალურად, როდესაც თავდამსხმელს შეუძლია წვდომა ლოკალური ქსელის ინტერფეისზე (loopback) სერვერზე (მაგალითად, ჰოსტინგის სისტემებზე). . მეორე ვარიანტი გამოჩნდება, როდესაც OpenSMTPD არის კონფიგურირებული, რომ მიიღოს გარე ქსელის მოთხოვნები (ფოსტის სერვერი, რომელიც იღებს მესამე მხარის ფოსტას). მკვლევარებმა მოამზადეს ექსპლოიტის პროტოტიპი, რომელიც წარმატებით მუშაობს როგორც OpenSMTPD ვარიანტთან OpenBSD 6.6-დან, ასევე პორტატული ვერსიით სხვა ოპერაციული სისტემებისთვის (ჩატარდა Debian Testing-ში).

პრობლემა გამოწვეულია smtp_mailaddr() ფუნქციის შეცდომით, რომელიც მოწოდებულია შეამოწმოს მნიშვნელობების სისწორე "MAIL FROM" და "RCPT TO" ველებში, რომლებიც განსაზღვრავენ გამგზავნს/მიმღებს და გადაცემულია კავშირის დროს. ფოსტის სერვერზე. smtp_mailaddr() ფუნქცია გამოიძახება smtp_mailaddr()-ში, რათა შეამოწმოს ფოსტის მისამართის ის ნაწილი, რომელიც დგას "@" სიმბოლოზე წინ.
valid_localpart(), რომელიც თვლის "!#$%&'*/?^`{|}~+-=_" სიმბოლოებს დაშვებულად (MAILADDR_ALLOWED), როგორც ამას მოითხოვს RFC 5322.

ამ შემთხვევაში, სტრიქონი პირდაპირ გადის mda_expand_token() ფუნქციაში, რომელიც ცვლის მხოლოდ სიმბოლოებს "!#$%&'*?`{|}~" (MAILADDR_ESCAPE). გარდა ამისა, mda_expand_token()-ში მომზადებული სტრიქონი გამოიყენება მიწოდების აგენტის (MDA) გამოძახებისას ბრძანების 'execle("/bin/sh", "/bin/sh", "-c", mda_command,...'. ფოსტა. mbox-ში /bin/sh-ში გაშვებულია ხაზი "/usr/libexec/mail.local -f %%{mbox.from} %%{user.username}", სადაც მნიშვნელობა "%{mbox.from}" მოიცავს გაცდენილ მონაცემებს "MAIL FROM" პარამეტრიდან.

დაუცველობის არსი იმაში მდგომარეობს, რომ smtp_mailaddr()-ს აქვს ლოგიკური შეცდომა, რის გამოც, თუ ცარიელი დომენი გადაეცემა ელფოსტას, ფუნქცია აბრუნებს წარმატებულ დამადასტურებელ კოდს, მაშინაც კი, თუ მისამართის ნაწილი "@"-მდე შეიცავს არასწორ სიმბოლოებს. გარდა ამისა, mda_expand_token() ფუნქციით სტრიქონის მომზადებისას, ყველა შესაძლო ჭურვის სპეციალური სიმბოლო არ არის ამოღებული, მაგრამ მხოლოდ სპეციალური სიმბოლოებია დაშვებული ფოსტის მისამართზე. ამრიგად, თქვენი ბრძანების გასაშვებად, საკმარისია გამოიყენოთ სიმბოლო ";" ელ.ფოსტის ლოკალურ ნაწილში. და სივრცე, რომელიც არ არის MAILADDR_ESCAPE კომპლექტში და არ არის გაქცევა. Მაგალითად:

$nc 127.0.0.1 25

HELO პროფესორი.falken
ფოსტა:<;ძილი 66;>
RCPT მიმართა:
მონაცემები
.
გამოსვლა

ამ სესიის შემდეგ, OpenSMTPD, mbox-ში მიტანისას, გაუშვებს ბრძანებას shell-ის მეშვეობით

/usr/libexec/mail.local -f ;sleep 66; ფესვი

ამავდროულად, თავდასხმის შესაძლებლობები შეზღუდულია იმით, რომ მისამართის ლოკალური ნაწილი არ უნდა აღემატებოდეს 64 სიმბოლოს, ხოლო სპეციალური სიმბოლოები '$' და '|'. გაქცევისას იცვლება ":"-ით. ამ შეზღუდვის გვერდის ავლით, ის ფაქტი, რომ შეტყობინების ძირითადი ნაწილი გადაიცემა /usr/libexec/mail.local-ის გაშვების შემდეგ შეყვანის ნაკადის მეშვეობით, ე.ი. მისამართით მანიპულირების გზით, თქვენ შეგიძლიათ გაუშვათ მხოლოდ sh ბრძანების თარჯიმანი და გამოიყენოთ ასოს ტექსტი, როგორც ინსტრუქციების ნაკრები. ვინაიდან სერვისის SMTP სათაურები მითითებულია ასოს დასაწყისში, რეკომენდებულია გამოიყენოს წაკითხვის ბრძანების გამოძახება მარყუჟში, რომ გამოტოვოთ ისინი. სამუშაო ექსპლოიტი ასე გამოიყურება:

$nc 192.168.56.143 25

HELO პროფესორი.falken
ფოსტა FROM:<;i-სთვის 0 1 2 3 4 5 6 7 8 9 abcd; წაიკითხეთ r; შესრულებულია; sh; გამოსვლა 0;>
RCPT მიმართა:[ელ.ფოსტით დაცულია]>
მონაცემები
#0
#1
...
#d
მე-სთვის WOPR-ში; კეთება
echo -n "($i) " && id || შესვენება
გაკეთდეს > /root/x."`id -u`"."$$"
.
გამოსვლა

წყარო: opennet.ru