{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Exim gepatcht - patch opnieuw. Vers Remote Command Execution in Exim 4.92 in \u00e9\u00e9n verzoek.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Exim<\/p>\n

Heel recent, begin deze zomer, zijn er massale oproepen verschenen om Exim bij te werken naar versie 4.92 vanwege de kwetsbaarheid CVE-2019-10149 (Update Exim dringend naar 4.92 \u2014 er vindt actieve besmetting plaats \/ Habr<\/a><\/noindex>). En onlangs werd duidelijk dat de malware Sustes deze kwetsbaarheid besloot te exploiteren.<\/p>\n

Nu kunnen alle dringend bijgewerkte gebruikers weer 'blij' zijn: op 21 juli 2019 ontdekte onderzoeker Zerons een kritieke kwetsbaarheid in Exim Mail Transfer Agent (MTA) bij gebruik van TLS<\/strong> voor versies van 4.80 tot 4.92.1<\/strong> inclusief, die op afstand code met geprivilegieerde rechten kan uitvoeren.<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

Kwetsbaarheid<\/h3>\n

De kwetsbaarheid is aanwezig bij het gebruik van zowel de GnuTLS- als de OpenSSL-bibliotheken bij het opzetten van een beveiligde TLS-verbinding.<\/p>\n

Volgens ontwikkelaar Heiko Schlittermann gebruikt het configuratiebestand in Exim standaard geen TLS, maar veel distributies cre\u00ebren tijdens de installatie de vereiste certificaten en activeren een beveiligde verbinding. Ook nieuwere versies van Exim installeren de optie tls_advertise_hosts=*<\/em> en genereren de vereiste certificaten.<\/p>\n

afhankelijk van de configuratie. De meeste distributies hebben het standaard ingeschakeld, maar Exim heeft een certificaat + sleutel nodig om als een TLS-server te functioneren. Waarschijnlijk cre\u00ebren distributies een certificaat tijdens de installatie. Nieuwere Exims hebben de optie tls_advertise_hosts die standaard is ingesteld op «*» en cre\u00ebren een zelfondertekend certificaat als er geen wordt verstrekt.<\/p><\/blockquote>\n

De kwetsbaarheid zelf ligt in de onjuiste verwerking van SNI (Server Name Indication, een technologie ge\u00efntroduceerd in 2003 in RFC 3546 voor het opvragen door de cli\u00ebnt van een correct certificaat voor de domeinnaam, Verspreiding van de TLS SNI-standaard \/ Blog van WEBO Group \/ Habr<\/a><\/noindex>) tijdens de TLS-handshake. Een aanvaller hoeft alleen maar een SNI te verzenden die eindigt met een backslash («») en een null-teken (» «).<\/p>\n

Onderzoekers van Qualys hebben een bug ontdekt in de functie string_printing(tls_in.sni), die te maken heeft met onjuiste escaping van «». Hierdoor wordt de backslash als niet-ge\u00ebscaleerd in het print spool-kopbestanden geschreven. Dit bestand met verhoogde rechten wordt vervolgens gelezen door de functie spool_read_header(), wat leidt tot een heap overflow.<\/p>\n

Het is vermeldenswaard dat de ontwikkelaars van Exim momenteel een PoC van de kwetsbaarheid hebben gecre\u00eberd waarmee commando's op een kwetsbare server op afstand kunnen worden uitgevoerd, maar deze is nog niet publiek beschikbaar. Gezien de eenvoud van het exploiteren van de bug is het slechts een kwestie van tijd, en dat is vrij kort.<\/strong><\/p>\n

Voor een meer gedetailleerd onderzoek van Qualys kan men zich melden hier<\/a><\/noindex>.<\/p>\n

\"Exim<\/p>\n

Gebruik van SNI in TLS<\/em><\/p>\n

Aantal potentieel kwetsbare publieke servers<\/h3>\n

Volgens een grote hostingprovider E-Soft Inc<\/strong> op 1 september wordt versie 4.92 gebruikt op meer dan 70% van de gehuurde servers.<\/p>\n

Versie
\nAantal servers
\nPercentage<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Andere versies
\n25568
\n5.04%<\/p>\n

Statistieken van E-Soft Inc<\/em><\/p>\n

Als we de zoekmachine Shodan<\/strong><\/a><\/noindex>, bekijken van de 5.250.000 servers in de database:<\/p>\n