OpenSMTPD मा कमजोरीहरू जसले रिमोट र स्थानीय रूट पहुँच अनुमति दिन्छ

क्वालिस कम्पनी खुलासा मेल सर्भरमा अर्को रिमोट क्रिटिकल भेद्यता (CVE-2020-8794) OpenSMTPD, OpenBSD परियोजना द्वारा विकसित। जनवरीको अन्त्यमा पहिचान गरिएको जस्तै कमजोरी, एउटा नयाँ मुद्दाले रूट प्रयोगकर्ता अधिकारहरू भएको सर्भरमा टाढैबाट स्वेच्छाचारी शेल आदेशहरू कार्यान्वयन गर्न सम्भव बनाउँछ। जोखिम हटाइयो मुद्दा मा OpenSMTPD 6.6.4p1.

रिमोट मेल सर्भरमा मेल डेलिभर गर्ने कोडमा बगको कारणले गर्दा समस्या आएको हो (आगमन जडानहरू ह्यान्डल गर्ने कोडमा होइन)। आक्रमण ग्राहक पक्ष र सर्भर साइडमा दुवै सम्भव छ। क्लाइन्ट पक्षमा, OpenSMTPD को पूर्वनिर्धारित कन्फिगरेसनमा आक्रमण सम्भव छ, जसमा OpenSMTPD ले आन्तरिक नेटवर्क इन्टरफेस (लोकलहोस्ट) मा मात्र अनुरोधहरू स्वीकार गर्दछ र बाह्य सर्भरहरूमा मेल सन्देशहरू पठाउँछ। जोखिमको शोषण गर्न, यो पर्याप्त छ कि, पत्रको डेलिभरीको क्रममा, OpenSMTPD ले आक्रमणकारीद्वारा नियन्त्रित मेल सर्भरसँग सत्र स्थापना गर्दछ, वा आक्रमणकारीले क्लाइन्ट जडानमा जोड्न सक्छ (MITM वा DNS वा BGP मार्फत आक्रमणको क्रममा पुन: निर्देशन। )।

सर्भर-साइड आक्रमणको लागि, OpenSMTPD लाई अन्य मेल सर्भरहरूबाट बाह्य नेटवर्क अनुरोधहरू प्राप्त गर्न वा तेस्रो-पक्ष सेवाहरू प्रदान गर्न कन्फिगर गरिएको हुनुपर्छ जसले तपाईंलाई मनमानी इमेलमा अनुरोध पठाउन अनुमति दिन्छ (उदाहरणका लागि, वेबसाइटहरूमा ठेगाना पुष्टिकरण फारमहरू)। उदाहरण को लागी, एक आक्रमणकर्ताले OpenSMTPD सर्भरमा जडान गर्न सक्छ र गलत पत्र पठाउन सक्छ (अवस्थित प्रयोगकर्तालाई), जसले आक्रमणकर्ताको सर्भरमा त्रुटि कोड (बाउन्स) सहितको पत्र पठाउने प्रतिक्रियाको नेतृत्व गर्नेछ। आक्रमणकारीको सर्भरमा सूचना पठाउन OpenSMTPD जडान हुँदा आक्रमणकारीले कमजोरीको शोषण गर्न सक्छ। आक्रमणको समयमा इन्जेक्सन गरिएका शेल आदेशहरू OpenSMTPD पुन: सुरु गर्दा मूल अधिकारहरूसँग कार्यान्वयन गरिएको फाइलमा राखिन्छ, त्यसैले आक्रमणकर्ताले OpenSMTPD पुन: सुरु गर्न वा आक्रमण पूरा गर्न OpenSMTPD को क्र्यास सुरु गर्न पर्खनुपर्छ।

जडान स्थापित भएपछि रिमोट सर्भरद्वारा फर्काइएको बहुलाइन प्रतिक्रिया पार्स गर्न कोडमा mta_io() प्रकार्यमा समस्या अवस्थित छ (उदाहरणका लागि, "250-ENHANCEDSTATUSCODES" र "250 HELP")। OpenSMTPD ले गणना गर्दछ कि पहिलो रेखामा तीन-अङ्कको संख्या र "-" क्यारेक्टरद्वारा छुट्याएको पाठ समावेश छ, र दोस्रो रेखामा तीन-अङ्कको संख्या र स्पेसद्वारा छुट्याएको पाठ समावेश छ। यदि तीन-अङ्कको नम्बरलाई दोस्रो लाइनमा स्पेस र पाठले पछ्याएको छैन भने, पाठ परिभाषित गर्न प्रयोग गरिएको पोइन्टर '\0' क्यारेक्टर पछि बाइटमा सेट गरिन्छ र अन्त्य पछि डेटा प्रतिलिपि गर्ने प्रयास गरिन्छ। बफर मा लाइन को।

OpenBSD परियोजनाको अनुरोधमा, प्रयोगकर्ताहरूलाई आफ्नो प्रणाली अद्यावधिक गर्न अनुमति दिनको लागि यस जोखिमको लागि शोषण विवरणहरूको प्रकाशन फेब्रुअरी २६ सम्म ढिलाइ गरिएको छ। यो समस्या डिसेम्बर २०१५ देखि कोडबेसमा रहेको छ, तर मे २०१८ देखि रूट कोड कार्यान्वयनमा शोषण सम्भव भएको छ। अनुसन्धानकर्ताहरूले एक काम गर्ने शोषण प्रोटोटाइप तयार गरेका छन्, जुन OpenBSD ६.६, OpenBSD ५.९ को लागि OpenSMTPD निर्माणहरूमा सफलतापूर्वक परीक्षण गरिएको छ। Debian 10, Debian ११ (परीक्षण) र फेडोरा ३१।

OpenSMTPD मा पनि पहिचान गरियो अर्को जोखिम (CVE-2020-8793) ले स्थानीय प्रयोगकर्तालाई प्रणालीमा रहेको कुनै पनि फाइलको पहिलो लाइन पढ्न अनुमति दिन्छ। उदाहरणका लागि, /etc/master.passwd को पहिलो लाइन, जसमा रूट प्रयोगकर्ताको पासवर्ड ह्यास हुन्छ, पढ्न सकिन्छ। जोखिमले अर्को प्रयोगकर्तासँग सम्बन्धित फाइलको सम्पूर्ण सामग्री पढ्न पनि अनुमति दिन्छ यदि त्यो फाइल /var/spool/smtpd/ डाइरेक्टरीको रूपमा उही फाइल प्रणालीमा अवस्थित छ भने। यो समस्या धेरै वितरणहरूमा शोषणयोग्य छैन। Linux, जसमा /proc/sys/fs/protected_hardlinks को मान १ मा सेट गरिएको छ।

समस्या अपूर्ण उन्मूलनको परिणाम हो समस्याहरु, सन् २०१५ मा क्वालिसले गरेको अडिटको क्रममा आवाज उठाइयो। आक्रमणकर्ताले "PATH=" सेट गरेर "_smtpq" समूहको अधिकारको साथ आफ्नो कोडको कार्यान्वयन हासिल गर्न सक्छ। र हालको डाइरेक्टरीमा मेकम्याप भनिने स्क्रिप्ट राख्दै (smtpctl उपयोगिताले स्पष्ट रूपमा मार्ग निर्दिष्ट नगरी मेकम्याप चलाउँछ)। "_smtpq" समूहमा पहुँच प्राप्त गरेर, आक्रमणकारीले त्यसपछि दौड अवस्था उत्पन्न गर्न सक्छ (अफलाइन डाइरेक्टरीमा ठूलो फाइल सिर्जना गर्नुहोस् र एक SIGSTOP संकेत पठाउनुहोस्) र, प्रक्रिया पूरा हुनु अघि, अफलाइन डाइरेक्टरीमा रहेको फाइललाई कडासँग बदल्नुहोस्। symlink ले लक्षित फाइललाई देखाउँदै जसको सामग्री पढ्न आवश्यक छ।

यो उल्लेखनीय छ कि Fedora 31 मा कमजोरीले तपाईंलाई रूट समूहको विशेषाधिकारहरू तुरुन्तै प्राप्त गर्न अनुमति दिन्छ, किनकि smtpctl प्रक्रिया setgid smtpq फ्ल्यागको सट्टा, setgid रूट फ्ल्यागसँग सुसज्जित छ। रूट समूहमा पहुँच प्राप्त गरेर, तपाइँ /var/lib/sss/mc/passwd को सामग्री अधिलेखन गर्न सक्नुहुन्छ र प्रणालीमा पूर्ण रूट पहुँच प्राप्त गर्न सक्नुहुन्छ।

स्रोत: opennet.ru