ਪੈਚਡ ਐਗਜ਼ਿਮ - ਦੁਬਾਰਾ ਪੈਚ ਕਰੋ। ਇੱਕ ਬੇਨਤੀ ਵਿੱਚ ਐਗਜ਼ਿਮ 4.92 ਵਿੱਚ ਤਾਜ਼ਾ ਰਿਮੋਟ ਕਮਾਂਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ

ਹਾਲ ਹੀ ਵਿੱਚ, ਗਰਮੀਆਂ ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ, CVE-4.92-2019 ਕਮਜ਼ੋਰੀ ਦੇ ਕਾਰਨ (ਤੁਰੰਤ ਐਗਜ਼ਿਮ ਨੂੰ 4.92 ਤੱਕ ਅੱਪਡੇਟ ਕਰੋ - ਇੱਕ ਸਰਗਰਮ ਇਨਫੈਕਸ਼ਨ ਹੈ / ਸੂਡੋ ਨੱਲ ਆਈਟੀ ਨਿਊਜ਼). ਅਤੇ ਹਾਲ ਹੀ ਵਿੱਚ ਇਹ ਸਾਹਮਣੇ ਆਇਆ ਹੈ ਕਿ ਸੁਸਟਸ ਮਾਲਵੇਅਰ ਨੇ ਇਸ ਕਮਜ਼ੋਰੀ ਦਾ ਫਾਇਦਾ ਉਠਾਉਣ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਹੈ.

ਹੁਣ ਉਹ ਸਾਰੇ ਜੋ ਤੁਰੰਤ ਅੱਪਡੇਟ ਕਰਦੇ ਹਨ, ਦੁਬਾਰਾ "ਖੁਸ਼" ਕਰ ਸਕਦੇ ਹਨ: 21 ਜੁਲਾਈ, 2019 ਨੂੰ, ਖੋਜਕਰਤਾ ਜ਼ੇਰੋਨਸ ਨੇ ਇਸ ਵਿੱਚ ਇੱਕ ਗੰਭੀਰ ਕਮਜ਼ੋਰੀ ਦੀ ਖੋਜ ਕੀਤੀ TLS ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਐਗਜ਼ਿਮ ਮੇਲ ਟ੍ਰਾਂਸਫਰ ਏਜੰਟ (MTA) ਤੋਂ ਸੰਸਕਰਣਾਂ ਲਈ 4.80 4.92.1 ਨੂੰ ਸੰਮਲਿਤ, ਰਿਮੋਟ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੇ ਨਾਲ ਕੋਡ ਚਲਾਓ (CVE-2019-15846).

ਕਮਜ਼ੋਰੀ

ਇੱਕ ਸੁਰੱਖਿਅਤ TLS ਕੁਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰਨ ਵੇਲੇ GnuTLS ਅਤੇ OpenSSL ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਕਮਜ਼ੋਰੀ ਮੌਜੂਦ ਹੁੰਦੀ ਹੈ।

ਡਿਵੈਲਪਰ Heiko Schlittermann ਦੇ ਅਨੁਸਾਰ, Exim ਵਿੱਚ ਸੰਰਚਨਾ ਫਾਇਲ ਮੂਲ ਰੂਪ ਵਿੱਚ TLS ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦੀ ਹੈ, ਪਰ ਕਈ ਡਿਸਟਰੀਬਿਊਸ਼ਨ ਇੰਸਟਾਲੇਸ਼ਨ ਦੌਰਾਨ ਲੋੜੀਂਦੇ ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਂਦੇ ਹਨ ਅਤੇ ਇੱਕ ਸੁਰੱਖਿਅਤ ਕਨੈਕਸ਼ਨ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦੇ ਹਨ। ਐਗਜ਼ਿਮ ਦੇ ਨਵੇਂ ਸੰਸਕਰਣ ਵੀ ਵਿਕਲਪ ਨੂੰ ਸਥਾਪਿਤ ਕਰਦੇ ਹਨ tls_advertise_hosts=* ਅਤੇ ਲੋੜੀਂਦੇ ਸਰਟੀਫਿਕੇਟ ਤਿਆਰ ਕਰੋ।

ਸੰਰਚਨਾ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ. ਜ਼ਿਆਦਾਤਰ ਡਿਸਟ੍ਰੋਜ਼ ਇਸਨੂੰ ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ ਸਮਰੱਥ ਬਣਾਉਂਦੇ ਹਨ, ਪਰ ਐਗਜ਼ਿਮ ਨੂੰ ਇੱਕ TLS ਸਰਵਰ ਵਜੋਂ ਕੰਮ ਕਰਨ ਲਈ ਇੱਕ ਸਰਟੀਫਿਕੇਟ+ਕੁੰਜੀ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਡਿਸਟ੍ਰੋਸ ਸੈੱਟਅੱਪ ਦੌਰਾਨ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਂਦੇ ਹਨ। ਨਵੇਂ ਐਗਜ਼ਿਮਾਂ ਵਿੱਚ tls_advertise_hosts ਵਿਕਲਪ "*" ਵਿੱਚ ਡਿਫਾਲਟ ਹੁੰਦਾ ਹੈ ਅਤੇ ਇੱਕ ਸਵੈ-ਦਸਤਖਤ ਸਰਟੀਫਿਕੇਟ ਬਣਾਓ, ਜੇਕਰ ਕੋਈ ਵੀ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਕਮਜ਼ੋਰੀ ਖੁਦ SNI (ਸਰਵਰ ਨੇਮ ਇੰਡੀਕੇਸ਼ਨ, ਇੱਕ 2003 ਵਿੱਚ RFC 3546 ਵਿੱਚ ਇੱਕ ਡੋਮੇਨ ਨਾਮ ਲਈ ਸਹੀ ਸਰਟੀਫਿਕੇਟ ਦੀ ਬੇਨਤੀ ਕਰਨ ਲਈ ਇੱਕ ਕਲਾਇੰਟ ਲਈ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਇੱਕ ਤਕਨਾਲੋਜੀ, ਦੀ ਗਲਤ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਹੈ, TLS SNI ਸਟੈਂਡਰਡ / WEBO ਗਰੁੱਪ ਬਲੌਗ / Sudo Null IT ਨਿਊਜ਼ ਦੀ ਵੰਡ) ਇੱਕ TLS ਹੈਂਡਸ਼ੇਕ ਦੌਰਾਨ। ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਸਿਰਫ਼ ਇੱਕ SNI ਭੇਜਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ ਜਿਸਦਾ ਅੰਤ ਇੱਕ ਬੈਕਸਲੈਸ਼ ("") ਅਤੇ ਇੱਕ ਨਲ ਅੱਖਰ ("") ਹੁੰਦਾ ਹੈ।

Qualys ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ string_printing(tls_in.sni) ਫੰਕਸ਼ਨ ਵਿੱਚ ਇੱਕ ਬੱਗ ਖੋਜਿਆ ਹੈ, ਜਿਸ ਵਿੱਚ “” ਦਾ ਗਲਤ ਨਿਕਲਣਾ ਸ਼ਾਮਲ ਹੈ। ਨਤੀਜੇ ਵਜੋਂ, ਬੈਕਸਲੈਸ਼ ਨੂੰ ਪ੍ਰਿੰਟ ਸਪੂਲ ਹੈਡਰ ਫਾਈਲ ਵਿੱਚ ਅਣਸਕੇਪਡ ਲਿਖਿਆ ਜਾਂਦਾ ਹੈ। ਇਸ ਫਾਈਲ ਨੂੰ ਸਪੂਲ_ਰੀਡ_ਹੈਡਰ() ਫੰਕਸ਼ਨ ਦੁਆਰਾ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨਾਲ ਪੜ੍ਹਿਆ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਹੀਪ ਓਵਰਫਲੋ ਹੁੰਦਾ ਹੈ।

ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਇਸ ਸਮੇਂ, ਐਗਜ਼ਿਮ ਡਿਵੈਲਪਰਾਂ ਨੇ ਰਿਮੋਟ ਕਮਜ਼ੋਰ ਸਰਵਰ 'ਤੇ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਦੇ ਨਾਲ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਇੱਕ PoC ਬਣਾਇਆ ਹੈ, ਪਰ ਇਹ ਅਜੇ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਨਹੀਂ ਹੈ। ਬੱਗ ਦੇ ਸ਼ੋਸ਼ਣ ਦੀ ਸੌਖ ਦੇ ਕਾਰਨ, ਇਹ ਸਿਰਫ ਸਮੇਂ ਦੀ ਗੱਲ ਹੈ, ਅਤੇ ਬਹੁਤ ਘੱਟ ਹੈ।

Qualys ਦੁਆਰਾ ਇੱਕ ਹੋਰ ਵਿਸਤ੍ਰਿਤ ਅਧਿਐਨ ਪਾਇਆ ਜਾ ਸਕਦਾ ਹੈ ਇੱਥੇ.

TLS ਵਿੱਚ SNI ਦੀ ਵਰਤੋਂ ਕਰਨਾ

ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ ਜਨਤਕ ਸਰਵਰਾਂ ਦੀ ਸੰਖਿਆ

ਇੱਕ ਵੱਡੇ ਹੋਸਟਿੰਗ ਪ੍ਰਦਾਤਾ ਦੇ ਅੰਕੜਿਆਂ ਅਨੁਸਾਰ ਈ-ਸਾਫਟ ਇੰਕ 1 ਸਤੰਬਰ ਤੱਕ, ਕਿਰਾਏ ਦੇ ਸਰਵਰਾਂ 'ਤੇ, ਸੰਸਕਰਣ 4.92 ਨੂੰ 70% ਤੋਂ ਵੱਧ ਮੇਜ਼ਬਾਨਾਂ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਵਰਜਨ
ਸਰਵਰਾਂ ਦੀ ਸੰਖਿਆ
ਪ੍ਰਤੀਸ਼ਤ

4.92.1
6471
1.28%

4.92
376436
74.22%

4.91
58179
11.47%

4.9
5732
1.13%

4.89
10700
2.11%

4.87
14177
2.80%

4.84
9937
1.96%

ਹੋਰ ਸੰਸਕਰਣ
25568
5.04%

ਈ-ਸਾਫਟ ਇੰਕ ਕੰਪਨੀ ਦੇ ਅੰਕੜੇ

ਜੇਕਰ ਤੁਸੀਂ ਖੋਜ ਇੰਜਣ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋ ਸ਼ੋਦਾਨ, ਫਿਰ ਸਰਵਰ ਡੇਟਾਬੇਸ ਵਿੱਚ 5,250,000 ਵਿੱਚੋਂ:

• ਲਗਭਗ 3,500,000 Exim 4.92 ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ (ਲਗਭਗ 1,380,000 SSL/TLS ਵਰਤਦੇ ਹੋਏ);
• 74,000 ਤੋਂ ਵੱਧ 4.92.1 ਦੀ ਵਰਤੋਂ ਕਰ ਰਹੇ ਹਨ (ਲਗਭਗ 25,000 SSL/TLS ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ)।

ਇਸ ਤਰ੍ਹਾਂ, ਜਨਤਕ ਤੌਰ 'ਤੇ ਜਾਣੇ ਜਾਂਦੇ ਅਤੇ ਪਹੁੰਚਯੋਗ ਐਗਜ਼ਿਮ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ ਸਰਵਰ ਸੰਖਿਆ ਬਾਰੇ 1.5M.

ਸ਼ੋਡਨ ਵਿੱਚ ਐਗਜ਼ਿਮ ਸਰਵਰਾਂ ਦੀ ਖੋਜ ਕਰੋ

ਦੀ ਸੁਰੱਖਿਆ

• ਸਭ ਤੋਂ ਸਰਲ, ਪਰ ਸਿਫ਼ਾਰਸ਼ ਨਹੀਂ ਕੀਤੀ ਗਈ, ਵਿਕਲਪ ਹੈ TLS ਦੀ ਵਰਤੋਂ ਨਾ ਕਰੋ, ਜਿਸ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਈਮੇਲ ਸੁਨੇਹਿਆਂ ਨੂੰ ਸਪਸ਼ਟ ਰੂਪ ਵਿੱਚ ਅੱਗੇ ਭੇਜਿਆ ਜਾਵੇਗਾ।
• ਕਮਜ਼ੋਰੀ ਦੇ ਸ਼ੋਸ਼ਣ ਤੋਂ ਬਚਣ ਲਈ, ਸੰਸਕਰਣ ਨੂੰ ਅਪਡੇਟ ਕਰਨਾ ਵਧੇਰੇ ਤਰਜੀਹੀ ਹੋਵੇਗਾ ਐਗਜ਼ਿਮ ਇੰਟਰਨੈੱਟ ਮੇਲਰ 4.92.2.
• ਜੇਕਰ ਪੈਚ ਕੀਤੇ ਸੰਸਕਰਣ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨਾ ਜਾਂ ਸਥਾਪਿਤ ਕਰਨਾ ਅਸੰਭਵ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਵਿਕਲਪ ਲਈ ਐਗਜ਼ਿਮ ਕੌਂਫਿਗਰੇਸ਼ਨ ਵਿੱਚ ਇੱਕ ACL ਸੈਟ ਕਰ ਸਕਦੇ ਹੋ। acl_smtp_mail ਹੇਠ ਦਿੱਤੇ ਨਿਯਮਾਂ ਦੇ ਨਾਲ:

  # to be prepended to your mail acl (the ACL referenced
  # by the acl_smtp_mail main config option)
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}}
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}

ਸਰੋਤ: www.habr.com