OpenSMTPD मा असुरक्षा जसले रूट विशेषाधिकारहरूसँग रिमोट कोड कार्यान्वयन गर्न अनुमति दिन्छ

OpenBSD परियोजना द्वारा विकसित मेल सर्भरमा OpenSMTPD पहिचान गरियो महत्वपूर्ण जोखिम (CVE-2020-7247), जसले तपाईंलाई रूट प्रयोगकर्ता अधिकारहरूसँग सर्भरमा टाढैबाट शेल आदेशहरू कार्यान्वयन गर्न अनुमति दिन्छ। क्वालिस सेक्युरिटी (पहिलो ओपनएसएमटीपीडी अडिट) द्वारा आयोजित पुन: लेखापरीक्षणको क्रममा जोखिम पहिचान गरिएको थियो। गरिएको थियो 2015 मा, र नयाँ जोखिम मे 2018 देखि उपस्थित छ)। समस्या हटाइयो OpenSMTPD 6.6.2 रिलीजमा। सबै प्रयोगकर्ताहरूलाई तुरुन्तै अद्यावधिक स्थापना गर्न सिफारिस गरिन्छ (OpenBSD को लागि, प्याच syspatch मार्फत स्थापना गर्न सकिन्छ)।

दुई आक्रमण विकल्पहरू प्रस्तावित छन्। पहिलो विकल्पले पूर्वनिर्धारित OpenSMTPD कन्फिगरेसनमा काम गर्दछ (लोकलहोस्टबाट मात्र अनुरोधहरू स्वीकार गर्दै) र तपाइँलाई स्थानीय रूपमा समस्याको शोषण गर्न अनुमति दिन्छ, जब आक्रमणकर्ताले सर्भरमा स्थानीय नेटवर्क इन्टरफेस (लूपब्याक) पहुँच गर्न सक्षम हुन्छ (उदाहरणका लागि, होस्टिङ प्रणालीहरूमा)। । दोस्रो विकल्प तब हुन्छ जब OpenSMTPD बाह्य नेटवर्क अनुरोधहरू प्राप्त गर्न कन्फिगर गरिन्छ (तेस्रो-पक्ष मेल स्वीकार गर्ने मेल सर्भर)। अन्वेषकहरूले एक शोषणको प्रोटोटाइप तयार गरेका छन् जुन OpenBSD 6.6 मा समावेश गरिएको OpenSMTPD संस्करण र अन्य अपरेटिङ सिस्टमहरूका लागि पोर्टेबल संस्करण (डेबियन टेस्टिङमा सञ्चालन गरिएको) दुवैसँग सफलतापूर्वक काम गर्दछ।

समस्या smtp_mailaddr() प्रकार्यमा त्रुटिको कारणले भएको हो, जसलाई "मेलबाट" र "RCPT TO" फिल्डहरूमा मानहरूको शुद्धता जाँच गर्न भनिन्छ जसले प्रेषक/प्रापकलाई परिभाषित गर्दछ र जडानको क्रममा पास गरिन्छ। मेल सर्भर संग। "@" चिन्हको अगाडि आउने इमेल ठेगानाको भाग जाँच गर्न, smtp_mailaddr() प्रकार्य भनिन्छ।
valid_localpart(), जसले (MAILADDR_ALLOWED) क्यारेक्टरहरू "!#$%&'*/?^`{|}~+-=_", RFC 5322 द्वारा आवश्यक रूपमा स्वीकार गर्दछ।

यस अवस्थामा, mda_expand_token() प्रकार्यमा स्ट्रिङको सिधा भाग्ने कार्य गरिन्छ, जसले केवल क्यारेक्टरहरू "!#$%&'*?`{|}~" (MAILADDR_ESCAPE) लाई प्रतिस्थापन गर्छ। त्यसपछि, mda_expand_token() मा तयार गरिएको लाइन 'execle("/bin/sh", "/bin/sh", "-c", mda_command,...' प्रयोग गरेर डेलिभरी एजेन्ट (MDA) लाई कल गर्दा प्रयोग गरिन्छ। /bin/sh मार्फत mbox मा अक्षरहरू राख्ने अवस्थामा, लाइन “/usr/libexec/mail.local -f %%{mbox.from} %%{user.username}” सुरु हुन्छ, जहाँ मान “% {mbox.from}" मा "mail FROM" प्यारामिटरबाट एस्केप गरिएको डेटा समावेश छ।

कमजोरीको सार यो हो कि smtp_mailaddr() मा तार्किक त्रुटि छ, जसको कारणले, यदि खाली डोमेन इमेलमा पठाइयो भने, "@" अघिको ठेगानाको अंशमा अमान्य वर्णहरू भए पनि, प्रकार्यले सफल प्रमाणिकरण कोड फर्काउँछ। । थप रूपमा, स्ट्रिङ तयार गर्दा, mda_expand_token() प्रकार्यले सबै सम्भावित शेल विशेष क्यारेक्टरहरू छोड्दैन, तर इमेल ठेगानामा विशेष क्यारेक्टरहरूलाई मात्र अनुमति दिइन्छ। तसर्थ, तपाईंको आदेश चलाउनको लागि, इमेलको स्थानीय भागमा ";" प्रतीक प्रयोग गर्न पर्याप्त छ। र स्पेस, जुन MAILADDR_ESCAPE सेटमा समावेश गरिएको छैन र भागिएको छैन। उदाहरणका लागि:

$nc १२७.०.०.१ २५

हेलो प्रोफेसर.फल्केन
बाट मेल:
RCPT TO:
तथ्यांक
.
अन्त्य

यो सत्र पछि, OpenSMTPD, mbox मा डेलिभर गर्दा, शेल मार्फत आदेश सुरु गर्नेछ

/usr/libexec/mail.local -f; निद्रा 66; जरा

एकै समयमा, ठेगानाको स्थानीय भाग 64 वर्णहरू भन्दा बढी हुन सक्दैन भन्ने तथ्यद्वारा आक्रमण सम्भावनाहरू सीमित छन्, र विशेष क्यारेक्टरहरू '$' र '|' लाई ":" ले प्रतिस्थापन गरिएको छ। यस सीमालाई बाइपास गर्न, हामी यो तथ्य प्रयोग गर्छौं कि अक्षरको मुख्य भाग /usr/libexec/mail.local इनपुट स्ट्रिम मार्फत चलाइसकेपछि प्रसारित हुन्छ, अर्थात्। ठेगाना हेरफेर गरेर, तपाइँ केवल sh आदेश दोभाषे सुरु गर्न सक्नुहुन्छ र निर्देशनहरूको सेटको रूपमा अक्षरको मुख्य भाग प्रयोग गर्न सक्नुहुन्छ। सेवा SMTP हेडरहरू अक्षरको सुरुमा संकेत गरिएको हुनाले, तिनीहरूलाई छोड्नको लागि लूपमा पढ्ने आदेश प्रयोग गर्न सुझाव दिइन्छ। एक काम शोषण यस्तो देखिन्छ:

$nc १२७.०.०.१ २५

हेलो प्रोफेसर.फल्केन
बाट मेल:
RCPT TO:<[ईमेल सुरक्षित]>
तथ्यांक
#0
#1
...
#d
W O P R मा i को लागि; गर्नु
echo -n "($i) " && id || ब्रेक
सकियो > /root/x।"`id -u`।""$$"
.
अन्त्य

स्रोत: opennet.ru