{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Har patcha Exim \u2013 patch det igjen. Ny Remote Command Execution i Exim 4.92 i \u00e9n foresp\u00f8rsel.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Har<\/p>\n

Nylig, i begynnelsen av sommeren, kom det massevis av oppfordringer om \u00e5 oppdatere Exim til versjon 4.92 p\u00e5 grunn av s\u00e5rbarheten CVE-2019-10149 (Oppdater exim til 4.92 umiddelbart - aktiv smittespredning \/ Habr<\/a><\/noindex>). Og nylig ble det kjent at skadelig programvare Sustes har bestemt seg for \u00e5 utnytte denne s\u00e5rbarheten.<\/p>\n

N\u00e5 kan alle som har oppdatert, igjen \u00abglede\u00bb seg: 21. juli 2019 oppdaget forsker Zerons en kritisk s\u00e5rbarhet i Exim Mail Transfer agent (MTA) ved bruk av TLS<\/strong> for versjoner fra 4.80 til 4.92.1<\/strong> inkludert, som muliggj\u00f8r fjernkj\u00f8ring av kode med privilegerte rettigheter.<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

The vulnerability<\/h3>\n

S\u00e5rbarheten er til stede ved bruk av b\u00e5de GnuTLS- og OpenSSL-biblioteker n\u00e5r en sikker TLS-tilkobling etableres.<\/p>\n

If\u00f8lge utvikleren Heiko Schlittermann bruker konfigurasjonsfilen i Exim som standard ikke TLS, men mange distribusjoner lager n\u00f8dvendige sertifikater under installasjonen og inkluderer en sikker tilkobling. Ogs\u00e5 nyere versjoner av Exim setter alternativet tls_advertise_hosts=*<\/em> og genererer n\u00f8dvendige sertifikater.<\/p>\n

avhenger av konfigurasjonen. De fleste distribusjoner aktiverer det som standard, men Exim trenger et sertifikat og en n\u00f8kkel for \u00e5 fungere som en TLS-server. Sannsynligvis lager distribusjoner et sertifikat under oppsettet. Nyere Exim-versjoner har alternativet tls_advertise_hosts som standard til \u00ab*\u00bb og lager et selvsignert sertifikat hvis ingen er oppgitt.<\/p><\/blockquote>\n

Selve s\u00e5rbarheten ligger i feil h\u00e5ndtering av SNI (Server Name Indication, en teknologi som ble innf\u00f8rt i 2003 i RFC 3546 for \u00e5 be om riktig sertifikat for domenenavnet fra klienten, Spredning av TLS SNI-standarden \/ Blogg fra WEBO Group \/ Habr<\/a><\/noindex>) under TLS-h\u00e5ndtrykket. Det er tilstrekkelig for en angriper \u00e5 sende SNI som ender med bakoverlomme (\u00ab\u00bb) og null-tegn (\u00bb \u00ab).<\/p>\n

Forskere fra Qualys har oppdaget en feil i funksjonen string_printing(tls_in.sni), som inneb\u00e6rer feilaktig escaping av \u00ab\u00bb. Som f\u00f8lge av dette skrives bakoverlommen ut i ukodet form til header-filen print spool. Deretter leses denne filen med privilegerte rettigheter av funksjonen spool_read_header(), noe som f\u00f8rer til heap overflow.<\/p>\n

Det er verdt \u00e5 merke seg at utviklerne av Exim forel\u00f8pig har laget en PoC for s\u00e5rbarheten med utsendelse av kommandoer p\u00e5 en fjern s\u00e5rbar server, men den er fremdeles ikke offentlig tilgjengelig. P\u00e5 grunn av enkelheten i utnyttelsen av feilen er det bare et sp\u00f8rsm\u00e5l om tid, og det ganske kort.<\/strong><\/p>\n

En mer detaljert unders\u00f8kelse fra Qualys kan leses her<\/a><\/noindex>.<\/p>\n

\"Har<\/p>\n

Bruk av SNI i TLS<\/em><\/p>\n

Antall potensielt s\u00e5rbare offentlige servere<\/h3>\n

If\u00f8lge statistikk fra en stor hostingleverand\u00f8r E-Soft Inc<\/strong> per 1. september, p\u00e5 leide servere brukes versjon 4.92 p\u00e5 mer enn 70% av vertene.<\/p>\n

Version
\nAntall servere
\nProsent<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Andre versjoner
\n25568
\n5.04%<\/p>\n

Statistikk fra E-Soft Inc<\/em><\/p>\n

Hvis du s\u00f8ker i s\u00f8kemotoren Shodan<\/strong><\/a><\/noindex>, av de 5,250,000 serverne i databasen:<\/p>\n