I nga ra tata nei, i te timatanga o te raumati, he nui te karanga kia whakahoutia a Exim ki te putanga 4.92 na te whakaraeraetanga CVE-2019-10149 (). A no tata nei ka puta ko te Sustes malware i whakatau ki te whakamahi i tenei whakaraeraetanga.
Inaianei ka "koa" ano te hunga katoa i whakahou wawe: i te 21 o Hurae, 2019, ka kitea e te kairangahau a Zerons tetahi whakaraeraetanga nui Kaihoko Whakawhiti Mēra Exim (MTA) ina whakamahi ana i te TLS mo nga putanga mai 4.80 4.92.1 ake whakauru, tuku mamao mahia te waehere me nga mana whaimana ().
Whakaraerae
Ko te whakaraeraetanga kei te whakamahi i nga whare pukapuka GnuTLS me OpenSSL i te wa e whakatuu ana i tetahi hononga TLS haumaru.
E ai ki te kaiwhakawhanake a Heiko Schlittermann, ko te konae whirihoranga i Exim kaore i te whakamahi i te TLS ma te taunoa, engari he maha nga tohatoha ka waihanga i nga tiwhikete e tika ana i te wa o te whakaurunga me te whakahohe i te hononga haumaru. Ko nga putanga hou o Exim ka whakauru i te whiringa tls_advertise_hosts=* me te whakaputa i nga tiwhikete e tika ana.
kei runga i te whirihoranga. Ko te nuinga o nga distros ka taea ma te taunoa, engari e hiahia ana a Exim ki te tiwhikete+matua hei mahi hei tūmau TLS. Akene ka hangaia e Distros tetahi Tiwhikete i te wa o te tatūnga. Kei nga Exim hou ake te whiringa tls_advertise_hosts ka taunoa ki te "*" me te hanga i tetahi tiwhikete hainatanga ake, mena karekau he mea e whakaratohia.
Ko te whakaraeraetanga ake kei te he te tukatuka SNI (Server Name Indication, he hangarau i whakauruhia i te tau 2003 i RFC 3546 mo te kaihoko ki te tono i te tiwhikete tika mo te ingoa rohe, ) i roto i te rūrū TLS. Me tuku noa e te kaitukino he SNI ka mutu me te whakamuri ("") me te tohu kore (" ").
Kua kitea e nga Kairangahau mai i Qualys tetahi pepeke i roto i te mahinga string_printing(tls_in.sni), e uru ana ki te mawhiti hē o te "". Ko te mutunga, ka tuhia te whakamuri karekau i mawhiti ki te konae pane spool tā. Ka panuihia tenei konae me nga mana whaimana e te mahi spool_read_header(), ka puta ki te puhake.
He mea tika kia mohiohia i tenei wa, kua hangaia e nga kaiwhakawhanake Exim he PoC o nga whakaraeraetanga me te whakatinana i nga whakahau i runga i te tūmau whakaraerae mamao, engari kaore ano kia waatea noa. Na te ngawari o te whakamahi i te pepeha, he wa poto noa, he poto.
Ka kitea he rangahau taipitopito a Qualys .
Te whakamahi SNI i TLS
Te maha o nga tūmau tūmatanui whakaraerae
E ai ki nga tatauranga mai i tetahi kaiwhakarato manaaki nui E-Soft Inc mai i te 1 o Hepetema, i runga i nga kaitoro riihi, kua whakamahia te putanga 4.92 i roto i te neke atu i te 70% o nga kaihautu.
putanga
Te maha o nga Tūmau
ōrau
4.92.1
6471
1.28 orau
4.92
376436
74.22 orau
4.91
58179
11.47 orau
4.9
5732
1.13 orau
4.89
10700
2.11 orau
4.87
14177
2.80 orau
4.84
9937
1.96 orau
Versionstahi atu putanga
25568
5.04 orau
E-Soft Inc nga tatauranga kamupene
Mena ka whakamahi koe i te miihini rapu , ka puta mai i te 5,250,000 i roto i te pātengi raraunga tūmau:
- mo te 3,500,000 te whakamahi i te Exim 4.92 (mo te 1,380,000 te whakamahi SSL / TLS);
- neke atu i te 74,000 te whakamahi i te 4.92.1 (mo te 25,000 te whakamahi SSL/TLS).
No reira, e mohiotia ana e te iwi whanui me te uru atu ki a Exim ka taea te whakaraerae te maha o nga tūmau whakaraerae Miriona 1.5.
Rapua nga tūmau Exim i Shodan
tiaki
- Ko te mea ngawari, engari kaore i te tūtohutia, ko te kore e whakamahi i te TLS, ka puta nga karere imeera ka tukuna i roto i te maarama.
- Hei karo i te whakaraeraetanga, he pai ake te whakahou ki te putanga .
- Mena kaore e taea te whakahou, te whakauru ranei i tetahi putanga papaki, ka taea e koe te whakanoho i te ACL ki te whirihoranga Exim mo te whiringa acl_smtp_mail me nga ture e whai ake nei:
# to be prepended to your mail acl (the ACL referenced # by the acl_smtp_mail main config option) deny condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}} deny condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}
Source: will.com