원격 및 로컬 루트 액세스를 허용하는 OpenSMTPD의 취약점

퀄리스 컴퍼니 노출된 메일 서버의 또 다른 원격 치명적 취약점(CVE-2020-8794) 오픈SMTPD, OpenBSD 프로젝트에 의해 개발되었습니다. XNUMX월 말에 확인된 것과 유사 취약점, 새로운 문제로 인해 루트 사용자 권한으로 서버에서 임의의 셸 명령을 원격으로 실행할 수 있게 되었습니다. 취약점 제거 문제의 오픈SMTPD 6.6.4p1.

문제는 메일을 원격 메일 서버로 전달하는 코드(수신 연결을 처리하는 코드가 아님)의 버그로 인해 발생합니다. 공격은 클라이언트 측과 서버 측 모두에서 가능합니다. 클라이언트 측에서는 OpenSMTPD가 내부 네트워크 인터페이스(localhost)의 요청만 수락하고 메일 메시지를 외부 서버로 보내는 OpenSMTPD의 기본 구성에서 공격이 가능합니다. 취약점을 악용하려면 편지를 전달하는 동안 OpenSMTPD가 공격자가 제어하는 ​​메일 서버와의 세션을 설정하거나 공격자가 클라이언트 연결(MITM 또는 DNS 또는 BGP를 통한 공격 중 리디렉션)에 끼어들 수 있는 것만으로도 충분합니다. ).

서버 측 공격의 경우 OpenSMTPD는 다른 메일 서버로부터 외부 네트워크 요청을 수신하거나 임의 이메일(예: 웹 사이트의 주소 확인 양식)로 요청을 보낼 수 있는 타사 서비스를 제공하도록 구성되어야 합니다. 예를 들어, 공격자가 OpenSMTPD 서버에 연결하여 (존재하지 않는 사용자에게) 잘못된 문자를 보낼 수 있으며, 이로 인해 공격자의 서버에 오류 코드(바운스)가 포함된 문자를 보내는 응답이 발생하게 됩니다. 공격자는 OpenSMTPD가 공격자의 서버에 알림을 전달하기 위해 연결할 때 이 취약점을 악용할 수 있습니다. 공격 중에 주입된 셸 명령은 OpenSMTPD가 다시 시작될 때 루트 권한으로 실행되는 파일에 배치되므로 공격자는 OpenSMTPD가 다시 시작될 때까지 기다리거나 OpenSMTPD의 충돌을 시작하여 공격을 완료해야 합니다.

연결이 설정된 후 원격 서버에서 반환된 여러 줄 응답을 구문 분석하기 위한 코드의 mta_io() 함수에 문제가 있습니다(예: "250-ENHANCEDSTATUSCODES" 및 "250 HELP"). OpenSMTPD는 첫 번째 줄에 "-" 문자로 구분된 세 자리 숫자와 텍스트가 포함되어 있고 두 번째 줄에는 세 자리 숫자와 공백으로 구분된 텍스트가 포함되어 있다고 계산합니다. 세 자리 숫자 뒤에 공백과 두 번째 줄의 텍스트가 없으면 텍스트를 정의하는 데 사용된 포인터가 '\0' 문자 다음의 바이트로 설정되고 끝 부분 이후의 데이터 복사가 시도됩니다. 라인을 버퍼에 넣습니다.

OpenBSD 프로젝트의 요청에 따라 사용자가 시스템을 업데이트할 수 있도록 취약점 악용에 대한 세부 정보 게시가 26월 2015일까지 연기되었습니다. 해당 문제는 2018년 6.6월부터 코드베이스에 존재했으나, 5.9년 10월부터 루트 권한으로 코드 실행 전 악용이 가능해졌다. 연구원들은 OpenBSD 11, OpenBSD 31, Debian XNUMX, Debian XNUMX(테스트) 및 Fedora XNUMX용 OpenSMTPD 빌드에서 성공적으로 테스트된 익스플로잇의 작업 프로토타입을 준비했습니다.

OpenSMTPD에서도 확인됨 로컬 사용자가 시스템에 있는 모든 파일의 첫 번째 줄을 읽을 수 있도록 허용하는 또 다른 취약점(CVE-2020-8793)입니다. 예를 들어 루트 사용자의 비밀번호 해시가 포함된 /etc/master.passwd의 첫 번째 줄을 읽을 수 있습니다. 또한 이 취약점으로 인해 다른 사용자가 소유한 파일이 /var/spool/smtpd/ 디렉터리와 동일한 파일 시스템에 있는 경우 해당 파일의 전체 내용을 읽을 수 있습니다. /proc/sys/fs/protected_hardlinks 값이 1로 설정된 많은 Linux 배포판에서는 이 문제를 악용할 수 없습니다.

문제는 불완전한 제거의 결과입니다. проблем, 2015년 Qualys가 실시한 감사에서 밝혔습니다. 공격자는 "PATH=." 변수를 설정하여 "_smtpq" 그룹의 권한으로 자신의 코드를 실행할 수 있습니다. 현재 디렉토리에 makemap이라는 스크립트를 배치합니다(smtpctl 유틸리티는 경로를 명시적으로 지정하지 않고 makemap을 실행합니다). "_smtpq" 그룹에 대한 액세스 권한을 획득함으로써 공격자는 경쟁 조건(오프라인 디렉터리에 큰 파일을 생성하고 SIGSTOP 신호 보내기)을 일으킬 수 있으며 처리가 완료되기 전에 오프라인 디렉터리의 파일을 하드 파일로 교체할 수 있습니다. 내용을 읽어야 하는 대상 파일을 가리키는 심볼릭 링크.

Fedora 31에서는 smtpctl 프로세스에 setgid smtpq 플래그 대신 setgid 루트 플래그가 장착되어 있으므로 취약점을 통해 루트 그룹의 권한을 즉시 얻을 수 있다는 점은 주목할 만합니다. 루트 그룹에 대한 액세스 권한을 얻으면 /var/lib/sss/mc/passwd의 내용을 덮어쓰고 시스템에 대한 전체 루트 액세스 권한을 얻을 수 있습니다.

출처 : opennet.ru