റൂട്ട് പ്രത്യേകാവകാശങ്ങളുള്ള റിമോട്ട് കോഡ് എക്‌സിക്യൂഷൻ അനുവദിക്കുന്ന OpenSMTPD-യിലെ അപകടസാധ്യത

OpenBSD പ്രോജക്റ്റ് വികസിപ്പിച്ച മെയിൽ സെർവറിൽ OpenSMTPD തിരിച്ചറിഞ്ഞു ഗുരുതരമായ ദുർബലത (CVE-2020-7247), റൂട്ട് യൂസർ അവകാശങ്ങളോടെ സെർവറിൽ ഷെൽ കമാൻഡുകൾ വിദൂരമായി എക്സിക്യൂട്ട് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. ക്വാളിസ് സെക്യൂരിറ്റി (മുമ്പത്തെ ഓപ്പൺഎസ്എംടിപിഡി ഓഡിറ്റ്) നടത്തിയ റീ-ഓഡിറ്റിലാണ് അപകടസാധ്യത തിരിച്ചറിഞ്ഞത്. നിർവഹിച്ചു 2015-ൽ, പുതിയ അപകടസാധ്യത 2018 മെയ് മുതൽ നിലവിലുണ്ട്). പ്രശ്നം ഇല്ലാതാക്കി OpenSMTPD 6.6.2 പതിപ്പിൽ. അപ്‌ഡേറ്റ് ഉടനടി ഇൻസ്റ്റാൾ ചെയ്യാൻ എല്ലാ ഉപയോക്താക്കളും ശുപാർശ ചെയ്യുന്നു (ഓപ്പൺബിഎസ്ഡിക്ക്, പാച്ച് സൈസ്പാച്ച് വഴി ഇൻസ്റ്റാൾ ചെയ്യാൻ കഴിയും).

രണ്ട് ആക്രമണ ഓപ്ഷനുകൾ നിർദ്ദേശിക്കപ്പെടുന്നു. ആദ്യ ഓപ്ഷൻ ഡിഫോൾട്ട് OpenSMTPD കോൺഫിഗറേഷനിൽ പ്രവർത്തിക്കുന്നു (ലോക്കൽ ഹോസ്റ്റിൽ നിന്നുള്ള അഭ്യർത്ഥനകൾ മാത്രം സ്വീകരിക്കുന്നു) കൂടാതെ ആക്രമണകാരിക്ക് സെർവറിലെ പ്രാദേശിക നെറ്റ്‌വർക്ക് ഇന്റർഫേസ് (ലൂപ്പ്ബാക്ക്) ആക്‌സസ് ചെയ്യാൻ കഴിയുമ്പോൾ (ഉദാഹരണത്തിന്, ഹോസ്റ്റിംഗ് സിസ്റ്റങ്ങളിൽ) പ്രശ്നം പ്രാദേശികമായി ചൂഷണം ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. . ബാഹ്യ നെറ്റ്‌വർക്ക് അഭ്യർത്ഥനകൾ സ്വീകരിക്കുന്നതിന് OpenSMTPD കോൺഫിഗർ ചെയ്യുമ്പോൾ രണ്ടാമത്തെ ഓപ്ഷൻ സംഭവിക്കുന്നു (മൂന്നാം കക്ഷി മെയിൽ സ്വീകരിക്കുന്ന ഒരു മെയിൽ സെർവർ). OpenBSD 6.6-ൽ ഉൾപ്പെടുത്തിയിരിക്കുന്ന OpenSMTPD പതിപ്പിലും മറ്റ് ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങൾക്കുള്ള പോർട്ടബിൾ പതിപ്പിലും (ഡെബിയൻ ടെസ്റ്റിംഗിൽ നടത്തിയത്) വിജയകരമായി പ്രവർത്തിക്കുന്ന ഒരു ചൂഷണത്തിന്റെ ഒരു പ്രോട്ടോടൈപ്പ് ഗവേഷകർ തയ്യാറാക്കിയിട്ടുണ്ട്.

smtp_mailaddr() ഫംഗ്‌ഷനിലെ ഒരു പിശക് മൂലമാണ് പ്രശ്‌നം ഉണ്ടായത്, അയയ്‌ക്കുന്നയാളെ/സ്വീകർത്താവിനെ നിർവചിക്കുന്നതും കണക്ഷൻ സമയത്ത് കൈമാറുന്നതുമായ “മെയിൽ ഫ്രം”, “ആർ‌സി‌പി‌ടി ടു” ഫീൽഡുകളിലെ മൂല്യങ്ങളുടെ കൃത്യത പരിശോധിക്കാൻ വിളിക്കുന്ന ഇത് മെയിൽ സെർവർ ഉപയോഗിച്ച്. “@” ചിഹ്നത്തിന് മുമ്പായി വരുന്ന ഇമെയിൽ വിലാസത്തിന്റെ ഭാഗം പരിശോധിക്കുന്നതിന്, smtp_mailaddr() ഫംഗ്‌ഷൻ എന്ന് വിളിക്കുന്നു
Valid_localpart(), RFC 5322 ആവശ്യപ്പെടുന്ന പ്രകാരം "!#$%&'*/?^`{|}~+-=_" പ്രതീകങ്ങൾ (MAILADDR_ALLOWED) സ്വീകരിക്കുന്നു.

ഈ സാഹചര്യത്തിൽ, "!#$%&'*?`{|}~" (MAILADDR_ESCAPE) എന്ന അക്ഷരങ്ങൾ മാത്രം മാറ്റിസ്ഥാപിക്കുന്ന mda_expand_token() ഫംഗ്ഷനിൽ സ്ട്രിംഗിന്റെ നേരിട്ടുള്ള എസ്കേപ്പിംഗ് നടത്തുന്നു. തുടർന്ന്, 'execle("/bin/sh", "/bin/sh", "-c", mda_command,...' എന്ന കമാൻഡ് ഉപയോഗിച്ച് ഡെലിവറി ഏജന്റിനെ (MDA) വിളിക്കുമ്പോൾ mda_expand_token()-ൽ തയ്യാറാക്കിയ ലൈൻ ഉപയോഗിക്കുന്നു. . /bin/sh വഴി mbox-ലേക്ക് അക്ഷരങ്ങൾ സ്ഥാപിക്കുന്ന സാഹചര്യത്തിൽ, “/usr/libexec/mail.local -f %%{mbox.from} %%{user.username}” എന്ന ലൈൻ സമാരംഭിക്കും, ഇവിടെ മൂല്യം “% "മെയിൽ ഫ്രോം" പാരാമീറ്ററിൽ നിന്ന് രക്ഷപ്പെട്ട ഡാറ്റ {mbox.from}" ൽ ഉൾപ്പെടുന്നു.

smtp_mailaddr() ന് ഒരു ലോജിക്കൽ പിശക് ഉണ്ടെന്നതാണ് അപകടസാധ്യതയുടെ സാരം, അതിനാൽ, ഒരു ശൂന്യമായ ഡൊമെയ്ൻ ഇമെയിലിലേക്ക് അയച്ചാൽ, "@" എന്നതിന് മുമ്പുള്ള വിലാസത്തിന്റെ ഭാഗത്ത് അസാധുവായ പ്രതീകങ്ങൾ അടങ്ങിയിട്ടുണ്ടെങ്കിലും, ഫംഗ്ഷൻ വിജയകരമായ ഒരു സ്ഥിരീകരണ കോഡ് നൽകുന്നു. . കൂടാതെ, ഒരു സ്‌ട്രിംഗ് തയ്യാറാക്കുമ്പോൾ, mda_expand_token() ഫംഗ്‌ഷൻ സാധ്യമായ എല്ലാ ഷെൽ സ്‌പെഷ്യൽ ക്യാരക്‌ടറുകളിൽ നിന്നും രക്ഷപ്പെടുന്നില്ല, പക്ഷേ ഇമെയിൽ വിലാസത്തിൽ പ്രത്യേക പ്രതീകങ്ങൾ മാത്രമേ അനുവദിക്കൂ. അതിനാൽ, നിങ്ങളുടെ കമാൻഡ് പ്രവർത്തിപ്പിക്കുന്നതിന്, ഇമെയിലിന്റെ പ്രാദേശിക ഭാഗത്ത് ";" ചിഹ്നം ഉപയോഗിച്ചാൽ മതി. MAILADDR_ESCAPE സെറ്റിൽ ഉൾപ്പെടുത്താത്തതും രക്ഷപ്പെടാത്തതുമായ ഇടവും. ഉദാഹരണത്തിന്:

$nc 127.0.0.1 25

HELO professor.falken
മെയിൽ:<;sleep 66;>
ആർസിപിടി ടു:
ഡാറ്റ
.
പുറത്തുപോവുക

ഈ സെഷനുശേഷം, OpenSMTPD, mbox-ലേക്ക് ഡെലിവർ ചെയ്യുമ്പോൾ, ഷെല്ലിലൂടെ കമാൻഡ് ലോഞ്ച് ചെയ്യും

/usr/libexec/mail.local -f ;സ്ലീപ്പ് 66; റൂട്ട്

അതേ സമയം, വിലാസത്തിന്റെ പ്രാദേശിക ഭാഗത്തിന് 64 പ്രതീകങ്ങൾ കവിയാൻ പാടില്ല എന്നതും '$', '|' എന്നീ പ്രത്യേക പ്രതീകങ്ങളും ആക്രമണ സാധ്യതകൾ പരിമിതപ്പെടുത്തിയിരിക്കുന്നു. രക്ഷപ്പെടുമ്പോൾ ":" എന്ന് മാറ്റിസ്ഥാപിക്കുന്നു. ഈ പരിമിതി മറികടക്കാൻ, ഇൻപുട്ട് സ്ട്രീം വഴി /usr/libexec/mail.local പ്രവർത്തിപ്പിച്ചതിന് ശേഷം കത്തിന്റെ ബോഡി കൈമാറ്റം ചെയ്യപ്പെടുന്നു എന്ന വസ്തുത ഞങ്ങൾ ഉപയോഗിക്കുന്നു, അതായത്. വിലാസം കൈകാര്യം ചെയ്യുന്നതിലൂടെ, നിങ്ങൾക്ക് sh കമാൻഡ് ഇന്റർപ്രെട്ടർ സമാരംഭിക്കാനും ഒരു കൂട്ടം നിർദ്ദേശങ്ങളായി അക്ഷരത്തിന്റെ ബോഡി ഉപയോഗിക്കാനും മാത്രമേ കഴിയൂ. കത്തിന്റെ തുടക്കത്തിൽ സേവന SMTP തലക്കെട്ടുകൾ സൂചിപ്പിച്ചിരിക്കുന്നതിനാൽ, അവ ഒഴിവാക്കുന്നതിന് ഒരു ലൂപ്പിലെ റീഡ് കമാൻഡ് ഉപയോഗിക്കാൻ നിർദ്ദേശിക്കുന്നു. ഒരു പ്രവർത്തന ചൂഷണം ഇതുപോലെ കാണപ്പെടുന്നു:

$nc 192.168.56.143 25

HELO professor.falken
മെയിൽ:<; for i in 0 1 2 3 4 5 6 7 8 9 abcd; വായിക്കുക r;done;sh;exit 0;>
ആർസിപിടി ടു:[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]>
ഡാറ്റ
#0
#1
പങ്ക് € |
#d
ഞാൻ WOPR-ൽ; ചെയ്യുക
echo -n "($i) " && ഐഡി || ബ്രേക്ക്
ചെയ്തു > /root/x."`id -u`.""$$"
.
പുറത്തുപോവുക

അവലംബം: opennet.ru