വിദൂരവും പ്രാദേശികവുമായ റൂട്ട് ആക്‌സസ് അനുവദിക്കുന്ന OpenSMTPD-യിലെ കേടുപാടുകൾ

ക്വാളിസ് കമ്പനി വെളിപ്പെടുത്തി മെയിൽ സെർവറിലെ മറ്റൊരു റിമോട്ട് ഗുരുതരമായ കേടുപാടുകൾ (CVE-2020-8794) OpenSMTPD, OpenBSD പ്രോജക്റ്റ് വികസിപ്പിച്ചെടുത്തു. ജനുവരി അവസാനം തിരിച്ചറിഞ്ഞത് പോലെ ദുർബലത, റൂട്ട് യൂസർ അവകാശങ്ങളുള്ള ഒരു സെർവറിൽ അനിയന്ത്രിതമായ ഷെൽ കമാൻഡുകൾ വിദൂരമായി എക്സിക്യൂട്ട് ചെയ്യുന്നത് ഒരു പുതിയ പ്രശ്നം സാധ്യമാക്കുന്നു. ദുർബലത ഇല്ലാതാക്കി വിഷയത്തിൽ OpenSMTPD 6.6.4p1.

റിമോട്ട് മെയിൽ സെർവറിലേക്ക് (ഇൻകമിംഗ് കണക്ഷനുകൾ കൈകാര്യം ചെയ്യുന്ന കോഡിലല്ല) മെയിൽ ഡെലിവർ ചെയ്യുന്ന കോഡിലെ ഒരു ബഗ് കാരണമാണ് പ്രശ്നം. ക്ലയന്റ് ഭാഗത്തും സെർവർ ഭാഗത്തും ആക്രമണം സാധ്യമാണ്. ക്ലയന്റ് ഭാഗത്ത്, OpenSMTPD യുടെ ഡിഫോൾട്ട് കോൺഫിഗറേഷനിൽ ആക്രമണം സാധ്യമാണ്, അതിൽ OpenSMTPD ആന്തരിക നെറ്റ്‌വർക്ക് ഇന്റർഫേസിൽ (ലോക്കൽഹോസ്റ്റ്) അഭ്യർത്ഥനകൾ സ്വീകരിക്കുകയും ബാഹ്യ സെർവറുകളിലേക്ക് മെയിൽ സന്ദേശങ്ങൾ അയയ്ക്കുകയും ചെയ്യുന്നു. കേടുപാടുകൾ മുതലെടുക്കാൻ, ഒരു കത്ത് ഡെലിവറി ചെയ്യുമ്പോൾ, ആക്രമണകാരി നിയന്ത്രിക്കുന്ന ഒരു മെയിൽ സെർവറുമായി OpenSMTPD ഒരു സെഷൻ സ്ഥാപിക്കുന്നു, അല്ലെങ്കിൽ ആക്രമണകാരിക്ക് ക്ലയന്റ് കണക്ഷനിലേക്ക് വെഡ്ജ് ചെയ്യാൻ കഴിയും (MITM അല്ലെങ്കിൽ DNS അല്ലെങ്കിൽ BGP വഴിയുള്ള ആക്രമണ സമയത്ത് റീഡയറക്ഷൻ ).

ഒരു സെർവർ സൈഡ് ആക്രമണത്തിന്, മറ്റ് മെയിൽ സെർവറുകളിൽ നിന്നുള്ള ബാഹ്യ നെറ്റ്‌വർക്ക് അഭ്യർത്ഥനകൾ സ്വീകരിക്കുന്നതിനോ അല്ലെങ്കിൽ ഒരു അനിയന്ത്രിതമായ ഇമെയിലിലേക്ക് ഒരു അഭ്യർത്ഥന അയയ്‌ക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന മൂന്നാം കക്ഷി സേവനങ്ങൾ നൽകുന്നതിനോ OpenSMTPD കോൺഫിഗർ ചെയ്തിരിക്കണം (ഉദാഹരണത്തിന്, വെബ്‌സൈറ്റുകളിലെ വിലാസ സ്ഥിരീകരണ ഫോമുകൾ). ഉദാഹരണത്തിന്, ഒരു ആക്രമണകാരിക്ക് OpenSMTPD സെർവറിലേക്ക് കണക്റ്റുചെയ്‌ത് തെറ്റായ ഒരു കത്ത് (നിലവിലില്ലാത്ത ഉപയോക്താവിന്) അയയ്‌ക്കാൻ കഴിയും, ഇത് ആക്രമണകാരിയുടെ സെർവറിലേക്ക് ഒരു പിശക് കോഡ് (ബൗൺസ്) ഉള്ള ഒരു കത്ത് അയയ്‌ക്കുന്ന പ്രതികരണത്തിലേക്ക് നയിക്കും. ആക്രമണകാരിയുടെ സെർവറിലേക്ക് ഒരു അറിയിപ്പ് നൽകുന്നതിന് OpenSMTPD കണക്റ്റുചെയ്യുമ്പോൾ ഒരു ആക്രമണകാരിക്ക് അപകടസാധ്യത പ്രയോജനപ്പെടുത്താനാകും. ആക്രമണസമയത്ത് കുത്തിവച്ച ഷെൽ കമാൻഡുകൾ OpenSMTPD പുനരാരംഭിക്കുമ്പോൾ റൂട്ട് അവകാശങ്ങളോടെ നടപ്പിലാക്കുന്ന ഒരു ഫയലിൽ സ്ഥാപിച്ചിരിക്കുന്നു, അതിനാൽ ആക്രമണം പൂർത്തിയാക്കാൻ OpenSMTPD പുനരാരംഭിക്കുന്നതിനോ അല്ലെങ്കിൽ OpenSMTPD ക്രാഷ് ആരംഭിക്കുന്നതിനോ ആക്രമണകാരി കാത്തിരിക്കണം.

ഒരു കണക്ഷൻ സ്ഥാപിച്ചതിന് ശേഷം റിമോട്ട് സെർവർ നൽകുന്ന മൾട്ടിലൈൻ പ്രതികരണം പാഴ്‌സുചെയ്യുന്നതിനുള്ള കോഡിലെ mta_io() ഫംഗ്‌ഷനിലാണ് പ്രശ്‌നം ഉള്ളത് (ഉദാഹരണത്തിന്, "250-മെൻഹാൻസ്‌റ്റാറ്റസ്‌കോഡുകൾ", "250 സഹായം"). ഓപ്പൺഎസ്എംടിപിഡി കണക്കാക്കുന്നത് ആദ്യ വരിയിൽ മൂന്നക്ക സംഖ്യയും "-" പ്രതീകം കൊണ്ട് വേർതിരിക്കുന്ന വാചകവും ഉൾപ്പെടുന്നു, രണ്ടാമത്തെ വരിയിൽ മൂന്ന് അക്ക സംഖ്യയും ഒരു സ്‌പെയ്‌സ് കൊണ്ട് വേർതിരിക്കുന്ന വാചകവും അടങ്ങിയിരിക്കുന്നു. ഒരു മൂന്നക്ക സംഖ്യയ്ക്ക് ശേഷം രണ്ടാമത്തെ വരിയിൽ ഒരു സ്‌പെയ്‌സും ടെക്‌സ്‌റ്റും ഇല്ലെങ്കിൽ, ടെക്‌സ്‌റ്റ് നിർവചിക്കാൻ ഉപയോഗിക്കുന്ന പോയിന്റർ '\0' പ്രതീകത്തിന് ശേഷമുള്ള ബൈറ്റിലേക്ക് സജ്ജീകരിക്കുകയും അവസാനം ഡാറ്റ പകർത്താൻ ശ്രമിക്കുകയും ചെയ്യുന്നു. വരിയുടെ ബഫറിലേക്ക്.

ഓപ്പൺബിഎസ്ഡി പ്രോജക്റ്റിന്റെ അഭ്യർത്ഥന പ്രകാരം, ഉപയോക്താക്കൾക്ക് അവരുടെ സിസ്റ്റങ്ങൾ അപ്‌ഡേറ്റ് ചെയ്യാൻ അനുവദിക്കുന്നതിനായി, ദുർബലതയുടെ ചൂഷണത്തെക്കുറിച്ചുള്ള വിശദാംശങ്ങൾ പ്രസിദ്ധീകരിക്കുന്നത് ഫെബ്രുവരി 26 വരെ നീട്ടി. 2015 ഡിസംബർ മുതൽ കോഡ്‌ബേസിൽ പ്രശ്‌നം നിലവിലുണ്ട്, എന്നാൽ റൂട്ട് പ്രത്യേകാവകാശങ്ങളുള്ള കോഡ് നിർവ്വഹണത്തിന് മുമ്പുള്ള ചൂഷണം 2018 മെയ് മുതൽ സാധ്യമാണ്. ഓപ്പൺബിഎസ്ഡി 6.6, ഓപ്പൺബിഎസ്ഡി 5.9, ഡെബിയൻ 10, ഡെബിയൻ 11 (ടെസ്റ്റിംഗ്), ഫെഡോറ 31 എന്നിവയ്‌ക്കായുള്ള ഓപ്പൺഎസ്‌എം‌ടി‌പി‌ഡി ബിൽഡുകളിൽ വിജയകരമായി പരീക്ഷിച്ച എക്‌സ്‌പ്ലോയിറ്റിന്റെ ഒരു വർക്കിംഗ് പ്രോട്ടോടൈപ്പ് ഗവേഷകർ തയ്യാറാക്കി.

OpenSMTPD-യിലും തിരിച്ചറിഞ്ഞു സിസ്റ്റത്തിലെ ഏത് ഫയലിന്റെയും ആദ്യ വരി വായിക്കാൻ ഒരു പ്രാദേശിക ഉപയോക്താവിനെ അനുവദിക്കുന്ന മറ്റൊരു ദുർബലത (CVE-2020-8793). ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് /etc/master.passwd-ന്റെ ആദ്യ വരി വായിക്കാം, അതിൽ റൂട്ട് ഉപയോക്താവിന്റെ പാസ്‌വേഡ് ഹാഷ് അടങ്ങിയിരിക്കുന്നു. /var/spool/smtpd/ ഡയറക്‌ടറിയുടെ അതേ ഫയൽ സിസ്റ്റത്തിലാണ് ഈ ഫയൽ സ്ഥിതി ചെയ്യുന്നതെങ്കിൽ മറ്റൊരു ഉപയോക്താവിന്റെ ഉടമസ്ഥതയിലുള്ള ഒരു ഫയലിന്റെ മുഴുവൻ ഉള്ളടക്കങ്ങളും വായിക്കാനും ഈ അപകടസാധ്യത നിങ്ങളെ അനുവദിക്കുന്നു. /proc/sys/fs/protected_hardlinks എന്നതിന്റെ മൂല്യം 1 ആയി സജ്ജീകരിച്ചിരിക്കുന്ന പല ലിനക്സ് വിതരണങ്ങളിലും ഈ പ്രശ്നം പ്രയോജനപ്പെടുത്താനാവില്ല.

അപൂർണ്ണമായ ഉന്മൂലനത്തിന്റെ അനന്തരഫലമാണ് പ്രശ്നം പ്രശ്നങ്ങൾ2015-ൽ ക്വാളിസ് നടത്തിയ ഓഡിറ്റിനിടെ ശബ്ദം നൽകിയത്. “PATH=.” വേരിയബിൾ സജ്ജീകരിക്കുന്നതിലൂടെ “_smtpq” ഗ്രൂപ്പിന്റെ അവകാശങ്ങൾ ഉപയോഗിച്ച് ഒരു ആക്രമണകാരിക്ക് അവന്റെ കോഡ് നടപ്പിലാക്കാൻ കഴിയും. കൂടാതെ നിലവിലെ ഡയറക്‌ടറിയിൽ മേക്ക്‌മാപ്പ് എന്ന സ്‌ക്രിപ്റ്റ് സ്ഥാപിക്കുന്നു (പാത്ത് വ്യക്തമായി വ്യക്തമാക്കാതെ smtpctl യൂട്ടിലിറ്റി makemap പ്രവർത്തിപ്പിക്കുന്നു). "_smtpq" ഗ്രൂപ്പിലേക്ക് ആക്‌സസ് നേടുന്നതിലൂടെ, ആക്രമണകാരിക്ക് ഒരു റേസ് അവസ്ഥ ഉണ്ടാക്കാം (ഓഫ്‌ലൈൻ ഡയറക്‌ടറിയിൽ ഒരു വലിയ ഫയൽ സൃഷ്‌ടിച്ച് ഒരു SIGSTOP സിഗ്നൽ അയയ്‌ക്കുക) കൂടാതെ, പ്രോസസ്സിംഗ് പൂർത്തിയാകുന്നതിന് മുമ്പ്, ഓഫ്‌ലൈൻ ഡയറക്ടറിയിലെ ഫയൽ ഹാർഡ് ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുക ഉള്ളടക്കങ്ങൾ വായിക്കേണ്ട ടാർഗെറ്റ് ഫയലിലേക്ക് വിരൽ ചൂണ്ടുന്ന സിംലിങ്ക്.

smtpctl പ്രക്രിയയിൽ setgid smtpq ഫ്ലാഗിനുപകരം setgid റൂട്ട് ഫ്ലാഗ് സജ്ജീകരിച്ചിരിക്കുന്നതിനാൽ, ഫെഡോറ 31-ൽ, റൂട്ട് ഗ്രൂപ്പിന്റെ പ്രത്യേകാവകാശങ്ങൾ ഉടനടി നേടുന്നതിന് ദുർബലത നിങ്ങളെ അനുവദിക്കുന്നു എന്നത് ശ്രദ്ധേയമാണ്. റൂട്ട് ഗ്രൂപ്പിലേക്ക് പ്രവേശനം നേടുന്നതിലൂടെ, നിങ്ങൾക്ക് /var/lib/sss/mc/passwd-ന്റെ ഉള്ളടക്കങ്ങൾ തിരുത്തിയെഴുതാനും സിസ്റ്റത്തിലേക്കുള്ള പൂർണ്ണമായ റൂട്ട് ആക്സസ് നേടാനും കഴിയും.

അവലംബം: opennet.ru