Exim perantiqua - repeciare iterum. Exim 4.92 in one request

Recentius, in prima aestate, late patuerunt Exim vocat ad versionem renovandam esse 4.92 propter vulnerabilitatem CVE-2019-10149 (Enixe renovatio Exim ad 4.92 - infectio activa est / Sudo Null IT News). Nuper evenit ut Sustes malware uti hac vulnerabilitate placuit.

Nunc omnes qui instanter renovantur denuo "laetare" possunt: ​​die 21 mensis Iulii anno 2019 indagator Zerons criticam vulnerabilitatem invenit in Exim Mail serie agente (MTA) cum usura TLS quia versiones a 4.80 4.92.1 up inclusive, permittens remotis faciant codice iure praecipuo (CVE, 2019 15846,).

vulnerability

Coniunctio vulnerabilitas adest cum utentes tum GnuTLS et OpenSSL librarios cum securum TLS nexum constituunt.

Secundum elit Heiko Schlittermann, lima configurationis in Exim TLS per defaltam non utitur, sed multae distributiones necessarias libellos in institutione creant et nexum securum efficiunt. Etiam recentiora versiones Exim install per optionem tls_advertise_hosts=* et generare necessarias testimoniales.

ex configuratione pendent. Maxime distros id per defaltam enable, sed Exim libellum + clavem indiget ad operandum sicut servo TLS. Probabiliter Distros Cert creare per setup. Recentiora Examina habent optionis tls_advertise_hostium defaltam ad "*" et libellum signatum sui efficiunt, si nemo provisus est.

Ipsa vulnerabilitas iacet in processu falsae SNI (Indicationis Servae Nomen, technicae technicae anno 2003 in RFC 3546 introducta pro cliente ut libellum rectam petat pro nomine regio; Distributio TLS SNI standard / WEBO Group Blog / Sudo Null IT News) per TLS handshake. Oppugnator iustus indiget ut SNI desinentem cum backslash ("") et indolem nullam ("") mittere oportet.

Investigatores de Qualys invenerunt cimex in functione stringendi (tls_in.sni) quae falsam emissionem implicat "". Quam ob rem backslash scriptum est in promptu ad FUSUS capitis fasciculi impressi. Hic fasciculus tunc legitur cum iure privilegiato per spool_read_header() munus, quod redundantiam acervum ducit.

Notatu dignum est exim tincidunt PoC creasse vulnerabilitates cum mandatorum executione in servo vulnerabili remoto, sed nondum publice praesto est. Cimis abusionis debitam facilitatem, iustum est tempus ac breve.

Studio accuratiore per Qualys inveniri potest hic.

Using SNI in TLS

Numerus in potentia vulnerable publicus servers

Secundum statistics ex magna obnoxius provisor E-Soft Inc ad 1 Septembris, de servientibus conductis, versio 4.92 in plus quam 70% exercituum adhibetur.

Version
Numerus Servers
percent

4.92.1
6471
1.28%

4.92
376436
74.22%

4.91
58179
11.47%

4.9
5732
1.13%

4.89
10700
2.11%

4.87
14177
2.80%

4.84
9937
1.96%

other versions
25568
5.04%

E-Inc Soft company statistics

Si investigationis uteris shodandeinde ex 5,250,000 in servo datorum;

• circiter 3,500,000 usus Exim 4.92 (circiter 1,380,000 SSL/TLS utens);
• supra 74,000 utens 4.92.1 (circiter 25,000 utens SSL/TLS).

Sic, palam notum et accessum Exim potentia servientium vulnerabilium numero circiter 1.5 decies centena.

Search for Exim servers in Shodan

praesidium

• Simplicissima, sed non commendata, optio TLS non est uti, quae in nuntiis electronicis in claro reddetur.
• Ad abusionem vulnerabilitatem vitandam, potior esset renovatio versionis Exim Internet Mailer 4.92.2.
• Si impossibile est versionem renovare vel perantiquam instituere, ACL in Exim configuratione pro optione ponere potes acl_smtp_mail cum his praeceptis:

  # to be prepended to your mail acl (the ACL referenced
  # by the acl_smtp_mail main config option)
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}}
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}

Source: www.habr.com