റൂട്ട് പ്രത്യേകാവകാശങ്ങളോടെ സെർവറിൽ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാൻ അനുവദിക്കുന്ന എക്‌സിമിലെ ഗുരുതരമായ കേടുപാടുകൾ

എക്സിം മെയിൽ സെർവറിൽ തിരിച്ചറിഞ്ഞു ക്രിട്ടിചെസ്കയ ദുർബലത (CVE-2019-10149), ഇത് പ്രത്യേകമായി തയ്യാറാക്കിയ അഭ്യർത്ഥന പ്രോസസ്സ് ചെയ്യുമ്പോൾ റൂട്ട് അവകാശങ്ങളുള്ള സെർവറിൽ വിദൂര കോഡ് നിർവ്വഹണത്തിലേക്ക് നയിച്ചേക്കാം. 4.87 മുതൽ 4.91 വരെയുള്ള പതിപ്പുകളിൽ അല്ലെങ്കിൽ EXPERIMENTAL_EVENT ഓപ്ഷൻ ഉപയോഗിച്ച് നിർമ്മിക്കുമ്പോൾ പ്രശ്നം ചൂഷണം ചെയ്യാനുള്ള സാധ്യത രേഖപ്പെടുത്തി.

സ്ഥിരസ്ഥിതി കോൺഫിഗറേഷനിൽ, ഒരു പ്രാദേശിക ഉപയോക്താവിന് അനാവശ്യമായ സങ്കീർണതകളില്ലാതെ ആക്രമണം നടത്താൻ കഴിയും, കാരണം "പരിശോധിക്കുക = സ്വീകർത്താവ്" ACL പ്രയോഗിക്കുന്നു, ഇത് ബാഹ്യ വിലാസങ്ങൾക്കായി അധിക പരിശോധനകൾ നടത്തുന്നു. മറ്റൊരു ഡൊമെയ്‌നിനായി ദ്വിതീയ MX ആയി പ്രവർത്തിക്കുക, "verify=recipient" ACL നീക്കം ചെയ്യുക, അല്ലെങ്കിൽ local_part_suffix-ലേക്കുള്ള ചില മാറ്റങ്ങൾ എന്നിവ പോലുള്ള ക്രമീകരണങ്ങൾ മാറ്റുമ്പോൾ വിദൂര ആക്രമണം സംഭവിക്കാം. സെർവറിലേക്കുള്ള കണക്ഷൻ 7 ദിവസത്തേക്ക് തുറന്നിടാൻ ആക്രമണകാരിക്ക് കഴിയുമെങ്കിൽ ഒരു വിദൂര ആക്രമണവും സാധ്യമാണ് (ഉദാഹരണത്തിന്, സമയപരിധി മറികടക്കാൻ മിനിറ്റിൽ ഒരു ബൈറ്റ് അയയ്ക്കുന്നത്). അതേ സമയം, പ്രശ്നത്തിന്റെ വിദൂര ചൂഷണത്തിന് ലളിതമായ ആക്രമണ വെക്റ്ററുകൾ ഉണ്ടാകാൻ സാധ്യതയുണ്ട്.

/src/deliver.c ഫയലിൽ നിർവചിച്ചിരിക്കുന്ന deliver_message() ഫംഗ്‌ഷനിലെ സ്വീകർത്താവിന്റെ വിലാസം തെറ്റായി പരിശോധിച്ചതാണ് അപകടത്തിന് കാരണം. വിലാസ ഫോർമാറ്റിംഗ് കൈകാര്യം ചെയ്യുന്നതിലൂടെ, ഒരു ആക്രമണകാരിക്ക് തന്റെ ഡാറ്റയെ റൂട്ട് അവകാശങ്ങളുള്ള execv() ഫംഗ്ഷനിലൂടെ വിളിക്കുന്ന ഒരു കമാൻഡിന്റെ ആർഗ്യുമെന്റുകളിലേക്ക് മാറ്റിസ്ഥാപിക്കാൻ കഴിയും. ബഫർ ഓവർഫ്ലോയ്‌ക്കോ മെമ്മറി കറപ്ഷനോ ഉപയോഗിക്കുന്ന സങ്കീർണ്ണമായ സാങ്കേതിക വിദ്യകളുടെ ഉപയോഗം പ്രവർത്തനത്തിന് ആവശ്യമില്ല; ലളിതമായ പ്രതീക പകരം വയ്ക്കൽ മതിയാകും.

വിലാസം പരിവർത്തനം ചെയ്യുന്നതിനുള്ള നിർമ്മാണത്തിന്റെ ഉപയോഗവുമായി ബന്ധപ്പെട്ടതാണ് പ്രശ്നം:

deliver_localpart = Expand_string(
string_sprintf("${local_part:%s}", new->വിലാസം));
deliver_domain = Expand_string(
string_sprintf("${domain:%s}", new->വിലാസം));

എക്‌സ്‌റ്റേണൽ ഹാൻഡ്‌ലറിന്റെ സമാരംഭത്തിലേക്ക് നയിക്കുന്ന “${run{കമാൻഡ് ആർഗ്യുമെന്റുകൾ}” കമാൻഡ് തിരിച്ചറിയുന്നത് ഉൾപ്പെടെ, ഒരു അതിസങ്കീർണമായ സംയോജനമാണ് Expand_string() ഫംഗ്‌ഷൻ. അതിനാൽ, ഒരു SMTP സെഷനിൽ ആക്രമിക്കാൻ, ഒരു പ്രാദേശിക ഉപയോക്താവിന് 'RCPT ലേക്ക് "ഉപയോക്തൃനാമം+${run{...}}@localhost"' പോലെയുള്ള ഒരു കമാൻഡ് അയച്ചാൽ മതി, ഇവിടെ ലോക്കൽ_ഡൊമെയ്‌നുകളുടെ ലിസ്റ്റിൽ നിന്നുള്ള ഹോസ്റ്റുകളിലൊന്നാണ് ലോക്കൽ ഹോസ്റ്റ്, ഉപയോക്തൃനാമം എന്നത് നിലവിലുള്ള ഒരു പ്രാദേശിക ഉപയോക്താവിന്റെ പേരാണ്.

സെർവർ ഒരു മെയിൽ റിലേ ആയി പ്രവർത്തിക്കുന്നുണ്ടെങ്കിൽ, 'RCPT ലേക്ക് "${run{...}}@relaydomain.com"' എന്ന കമാൻഡ് വിദൂരമായി അയച്ചാൽ മതിയാകും, ഇവിടെ relaydomain.com എന്നത് relay_to_domains-ൽ ലിസ്റ്റുചെയ്തിരിക്കുന്ന ഹോസ്റ്റുകളിലൊന്നാണ്. ക്രമീകരണ വിഭാഗം. എക്സിം ഡ്രോപ്പ് പ്രിവിലേജ് മോഡ് ഡിഫോൾട്ട് ചെയ്യാത്തതിനാൽ (deliver_drop_privilege = false), "${run{...}}" വഴി അയച്ച കമാൻഡുകൾ റൂട്ടായി എക്സിക്യൂട്ട് ചെയ്യപ്പെടും.

അപകടാവസ്ഥയിലായത് ശ്രദ്ധേയമാണ് ഇല്ലാതാക്കി ഫെബ്രുവരിയിൽ പുറത്തിറക്കിയ 4.92 റിലീസിൽ, ഈ പരിഹാരം സുരക്ഷാ പ്രശ്‌നങ്ങളിലേക്ക് നയിച്ചേക്കാമെന്ന് ഊന്നിപ്പറയാതെ. എക്‌സിം ഡെവലപ്പർമാർ ബോധപൂർവം ഈ അപകടസാധ്യത മറച്ചുവെച്ചതായി വിശ്വസിക്കാൻ കാരണമില്ല, കാരണം പ്രശ്നം പരിഹരിച്ചത് തിരുത്തലുകൾ തെറ്റായ വിലാസങ്ങൾ കൈമാറുമ്പോൾ സംഭവിക്കുന്ന പരാജയം, എക്സിമിലെ മാറ്റങ്ങളുടെ ഓഡിറ്റിനിടെ ക്വാളിസ് അപകടസാധ്യത തിരിച്ചറിഞ്ഞു.

വിതരണങ്ങളിൽ ഉപയോഗിക്കുന്നത് തുടരുന്ന മുൻ പതിപ്പുകൾക്കുള്ള ഒരു പരിഹാരം നിലവിൽ ഇപ്രകാരം മാത്രമേ ലഭ്യമാകൂ പാച്ച്. പ്രശ്നം പരിഹരിക്കുന്നതിനുള്ള മുൻ ബ്രാഞ്ചുകളുടെ തിരുത്തൽ റിലീസുകൾ ജൂൺ 11-ന് ഷെഡ്യൂൾ ചെയ്തിട്ടുണ്ട്. പാക്കേജ് അപ്‌ഡേറ്റുകൾ തയ്യാറാണ് ഡെബിയൻ, ഉബുണ്ടു, ഓപ്പൺസുസി. ആർക്ക് ലിനക്സ് и ഫെഡോറ അവർ പതിപ്പ് 4.92 വിതരണം ചെയ്യുന്നു, അതിൽ പ്രശ്നം ദൃശ്യമാകില്ല. RHEL, CentOS പ്രശ്നം ബാധിതമല്ല, എക്സിം അവരുടെ റെഗുലർ പാക്കേജ് റിപ്പോസിറ്ററിയിൽ ഉൾപ്പെടുത്തിയിട്ടില്ലാത്തതിനാൽ.

അവലംബം: opennet.ru