प्याच गरिएको एक्जिम - फेरि प्याच गर्नुहोस्। एक्जिम ४.९२ मा एउटा अनुरोधमा ताजा रिमोट कमाण्ड कार्यान्वयन

हालसालै, प्रारम्भिक गर्मीमा, CVE-4.92-2019 जोखिमका कारण Exim संस्करण 10149 मा अद्यावधिक गर्नका लागि व्यापक कलहरू थिए (तत्काल एक्जिमलाई ४.९२ मा अपडेट गर्नुहोस् - त्यहाँ सक्रिय संक्रमण छ / Sudo Null IT News)। र भर्खरै यो बाहिरियो कि Sustes मालवेयरले यस जोखिमको फाइदा उठाउने निर्णय गर्यो।

अब तुरुन्त अद्यावधिक गर्ने सबैले फेरि "आनन्द" गर्न सक्छन्: जुलाई 21, 2019 मा, अनुसन्धानकर्ता Zerons मा एक महत्वपूर्ण जोखिम पत्ता लगाए। TLS प्रयोग गर्दा एक्जिम मेल ट्रान्सफर एजेन्ट (MTA) बाट संस्करणहरूको लागि गर्न 4.80 4.92.1 समावेशी, रिमोट अनुमति दिँदै विशेषाधिकार प्राप्त कोड कार्यान्वयन गर्नुहोस् (CVE-2019-15846).

कमजोरी

सुरक्षित TLS जडान स्थापना गर्दा दुबै GnuTLS र OpenSSL पुस्तकालयहरू प्रयोग गर्दा जोखिम उपस्थित हुन्छ।

विकासकर्ता Heiko Schlittermann अनुसार, Exim मा कन्फिगरेसन फाइलले पूर्वनिर्धारित रूपमा TLS प्रयोग गर्दैन, तर धेरै वितरणहरूले स्थापनाको समयमा आवश्यक प्रमाणपत्रहरू सिर्जना गर्दछ र सुरक्षित जडान सक्षम गर्दछ। साथै Exim को नयाँ संस्करणहरू विकल्प स्थापना गर्नुहोस् tls_advertise_hosts=* र आवश्यक प्रमाणपत्रहरू उत्पन्न गर्नुहोस्।

कन्फिगरेसन मा निर्भर गर्दछ। धेरै distros ले यसलाई पूर्वनिर्धारित रूपमा सक्षम गर्दछ, तर Exim लाई TLS सर्भरको रूपमा काम गर्न प्रमाणपत्र+कुञ्जी चाहिन्छ। सम्भवतः डिस्ट्रोले सेटअपको समयमा प्रमाणपत्र सिर्जना गर्दछ। नयाँ Exims मा tls_advertise_hosts विकल्प "*" मा पूर्वनिर्धारित छ र कुनै पनि प्रदान गरिएको छैन भने, स्व-हस्ताक्षरित प्रमाणपत्र सिर्जना गर्नुहोस्।

जोखिम आफैमा SNI को गलत प्रशोधनमा निहित छ (सर्भर नाम संकेत, एक प्रविधि 2003 मा RFC 3546 मा एक ग्राहकलाई डोमेन नामको लागि सही प्रमाणपत्र अनुरोध गर्नको लागि पेश गरिएको थियो, TLS SNI मानक / WEBO समूह ब्लग / Sudo Null IT समाचार को वितरण) TLS ह्यान्डशेकको समयमा। आक्रमणकारीले ब्याकस्ल्याश ("") र नल क्यारेक्टर (" ") सँग अन्त्य हुने SNI पठाउनु पर्छ।

Qualys का अन्वेषकहरूले string_printing(tls_in.sni) प्रकार्यमा एउटा बग पत्ता लगाएका छन्, जसमा "" को गलत एस्केपिङ समावेश छ। नतिजाको रूपमा, ब्याकस्ल्याश प्रिन्ट स्पूल हेडर फाइलमा अनस्केप गरिएको लेखिएको छ। यस फाइललाई स्पूल_रीड_हेडर() प्रकार्यद्वारा विशेषाधिकार प्राप्त अधिकारहरूसँग पढिन्छ, जसले हिप ओभरफ्लोमा जान्छ।

यो ध्यान दिन लायक छ कि यस क्षणमा, एक्जिम विकासकर्ताहरूले रिमोट कमजोर सर्भरमा आदेशहरूको कार्यान्वयनको साथ कमजोरीहरूको PoC सिर्जना गरेका छन्, तर यो अझै सार्वजनिक रूपमा उपलब्ध छैन। बगको शोषणको सहजताको कारण, यो केवल समयको कुरा हो, र एकदम छोटो।

Qualys द्वारा थप विस्तृत अध्ययन पाउन सकिन्छ यहाँ.

TLS मा SNI प्रयोग गर्दै

सम्भावित रूपमा कमजोर सार्वजनिक सर्भरहरूको संख्या

ठूलो होस्टिंग प्रदायकबाट तथ्याङ्क अनुसार ई-सफ्ट इंक सेप्टेम्बर 1 सम्म, भाडामा लिइएका सर्भरहरूमा, संस्करण 4.92 70% भन्दा बढी होस्टहरूमा प्रयोग गरिन्छ।

संस्करण
सर्भरहरूको संख्या
प्रतिशत

4.92.1
6471
1.28%

4.92
376436
74.22%

4.91
58179
11.47%

4.9
5732
1.13%

4.89
10700
2.11%

4.87
14177
2.80%

4.84
9937
1.96%

अन्य संस्करणहरू
25568
5.04%

ई-सफ्ट इंक कम्पनी तथ्याङ्क

यदि तपाइँ खोज इन्जिन प्रयोग गर्नुहुन्छ शोडान, त्यसपछि सर्भर डेटाबेसमा 5,250,000 मध्ये:

• लगभग 3,500,000 ले Exim 4.92 प्रयोग गर्दछ (लगभग 1,380,000 SSL/TLS प्रयोग गरेर);
• 74,000 प्रयोग गरेर 4.92.1 भन्दा बढी (SSL/TLS प्रयोग गरेर लगभग 25,000)।

तसर्थ, सार्वजनिक रूपमा ज्ञात र पहुँचयोग्य Exim सम्भावित रूपमा कमजोर सर्भरहरूको संख्या बारे 1.5 मिलियन.

Shodan मा एक्जिम सर्भर खोज्नुहोस्

सुरक्षा

• सबैभन्दा सरल, तर सिफारिस गरिएको छैन, विकल्प भनेको TLS प्रयोग नगर्नु हो, जसको परिणाम इमेल सन्देशहरू स्पष्ट रूपमा फर्वार्ड गरिनेछ।
• असुरक्षाको शोषणबाट बच्नको लागि, यो संस्करणमा अद्यावधिक गर्न अझ राम्रो हुनेछ एक्जिम इन्टरनेट मेलर ४.९२.२.
• यदि प्याच गरिएको संस्करण अद्यावधिक वा स्थापना गर्न असम्भव छ भने, तपाइँ विकल्पको लागि एक्जिम कन्फिगरेसनमा ACL सेट गर्न सक्नुहुन्छ। acl_smtp_mail निम्न नियमहरु संग:

  # to be prepended to your mail acl (the ACL referenced
  # by the acl_smtp_mail main config option)
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}}
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}

स्रोत: www.habr.com