큐메일 메일 서버의 원격으로 악용 가능한 취약점

Qualys의 보안 연구원 보여 주었다 기회 운영 큐메일 메일서버의 취약점, 유명한 2005년(CVE-2005-1513)에 있었지만 큐메일 작성자가 기본 구성에서 시스템을 공격하는 데 사용할 수 있는 작동하는 익스플로잇을 만드는 것이 비현실적이라고 주장했기 때문에 패치가 적용되지 않은 상태로 남아 있었습니다. Qualys는 이러한 가정을 반박하고 특별히 설계된 메시지를 보내 서버에서 원격 코드 실행을 시작할 수 있도록 하는 공격을 준비할 수 있었습니다.

이 문제는 매우 큰 메시지를 처리할 때 발생할 수 있는 stralloc_readyplus() 함수의 정수 오버플로로 인해 발생합니다. 작동하려면 64GB 이상의 가상 메모리를 갖춘 4비트 시스템이 필요했습니다. 2005년에 취약점이 처음 분석되었을 때 Daniel J. Bernstein은 할당된 배열의 크기가 항상 32비트 값 내에 있다는 코드의 가정은 어느 누구도 각 프로세스에 기가바이트의 메모리를 제공하지 않는다는 사실에 기반을 두고 있다고 주장했습니다. 지난 15년 동안 서버의 64비트 시스템이 32비트 시스템을 대체했으며, 제공되는 메모리 양과 네트워크 대역폭이 크게 증가했습니다.

큐메일 패키지 관리자는 Bernstein의 메모를 고려하여 qmail-smtpd 프로세스를 시작할 때 사용 가능한 메모리를 제한했습니다(예를 들어 Debian 10에서는 제한이 7MB로 설정되었습니다). 그러나 Qualys의 엔지니어들은 이것만으로는 충분하지 않으며 qmail-smtpd 외에도 테스트된 모든 패키지에서 제한되지 않은 qmail-local 프로세스에 대한 원격 공격이 수행될 수 있음을 발견했습니다. 그 증거로 기본 구성에서 큐메일을 사용하여 데비안 패키지를 공격하는 데 적합한 익스플로잇 프로토타입이 준비되었습니다.
공격 중에 원격 코드 실행을 구성하려면 서버에 4GB의 여유 디스크 공간과 8GB RAM이 필요합니다.
익스플로잇을 사용하면 "/home" 디렉토리에 자신의 하위 디렉토리가 없는 루트 및 시스템 사용자를 제외하고 시스템의 모든 사용자 권한으로 모든 쉘 명령을 실행할 수 있습니다(qmail-local 프로세스는 해당 권한으로 실행됩니다) 배송이 수행되는 로컬 사용자의).

공격이 수행됩니다.
여러 헤더 라인을 포함하여 약 4GB 및 576MB에 달하는 매우 큰 메일 메시지를 전송합니다. qmail-local에서 그러한 문자열을 처리하면 로컬 사용자에게 메시지를 전달하려고 할 때 정수 오버플로가 발생합니다. 그러면 정수 오버플로로 인해 데이터를 복사할 때 버퍼 오버플로가 발생하고 libc 코드로 메모리 페이지를 덮어쓸 가능성이 있습니다. 전송된 데이터의 레이아웃을 조작하여 "open()" 함수의 주소를 "system()" 함수의 주소로 대체하여 다시 쓰는 것도 가능합니다.

다음으로 qmail-local에서 qmesearch()를 호출하는 과정에서 open()함수를 통해 “.qmail-extension” 파일이 오픈되면서 실제 함수가 실행되게 된다.
시스템(".qmail-확장자"). 그러나 파일의 "확장자" 부분은 수신자의 주소(예: "localuser-extension@localdomain")를 기반으로 생성되므로 공격자는 사용자 "localuser-;command"를 지정하여 명령이 전송되도록 배열할 수 있습니다. ;@localdomain”을 메시지 수신자로 지정합니다.

코드 분석 중에 데비안 패키지의 일부인 추가 qmail-verify 패치에서도 두 가지 취약점이 발견되었습니다. 첫 번째 취약점(CVE-2020-3811)를 사용하면 이메일 주소 확인을 우회할 수 있으며 두 번째(CVE-2020-3812) 지역 정보 유출로 이어집니다. 특히 첫 번째 취약점을 사용하면 명령을 보내기 위해 익스플로잇에 사용된 주소의 정확성에 대한 확인을 우회할 수 있습니다("localuser-;command;"와 같이 도메인이 없는 주소에는 확인이 작동하지 않음). 두 번째 취약점은 로컬 핸들러에 대한 직접 호출을 통해 루트(qmail-verify가 루트 권한으로 실행됨)만 액세스할 수 있는 파일과 디렉터리를 포함하여 시스템에 파일과 디렉터리가 있는지 확인하는 데 사용할 수 있습니다.

문제를 해결하기 위해 Bernstein은 사용 가능한 메모리에 대한 전체 제한("softlimit -m12345678")을 두고 큐메일 프로세스를 실행할 것을 권장했습니다. 이 경우 문제가 차단됩니다. 보호의 대체 방법으로 "control/databytes" 파일을 통해 처리되는 메시지의 최대 크기를 제한하는 것도 언급됩니다(기본적으로 기본 설정으로 생성되지 않습니다). 큐메일은 여전히 ​​취약합니다. 추가적으로 "control/databytes"는 시스템 사용자의 로컬 공격으로부터 보호하지 않습니다. 왜냐하면 제한은 qmail-smtpd에서만 고려되기 때문입니다.

문제가 패키지에 영향을 미칩니다. 넷큐메일, 데비안 저장소에 포함되어 있습니다. 이 패키지에 대한 패치 세트가 준비되어 2005년의 오래된 취약점(alloc() 함수 코드에 하드 메모리 제한을 추가하여)과 qmail-verify의 새로운 문제를 모두 제거합니다. 갈라져 준비 qmail-verify 패치의 업데이트된 버전입니다. 개발자 가지 노큐메일 오래된 문제를 차단하기 위해 자체 패치를 준비하고 코드에서 가능한 모든 정수 오버플로를 제거하기 위한 작업도 시작했습니다.

출처 : opennet.ru