OpenSMTPD ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਜੋ ਰੂਟ ਦੇ ਤੌਰ 'ਤੇ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ

OpenBSD ਪ੍ਰੋਜੈਕਟ ਦੁਆਰਾ ਵਿਕਸਤ ਮੇਲ ਸਰਵਰ ਵਿੱਚ OpenSMTPD ਪਛਾਣ ਕੀਤੀ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ (CVE-2020-7247) ਜੋ ਤੁਹਾਨੂੰ ਰੂਟ ਉਪਭੋਗਤਾ ਅਧਿਕਾਰਾਂ ਵਾਲੇ ਸਰਵਰ 'ਤੇ ਰਿਮੋਟਲੀ ਸ਼ੈੱਲ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਕੁਆਲਿਸ ਸਕਿਓਰਿਟੀ (ਓਪਨਐਸਐਮਟੀਪੀਡੀ ਦਾ ਪਿਛਲਾ ਆਡਿਟ) ਦੁਆਰਾ ਕਰਵਾਏ ਗਏ ਮੁੜ-ਆਡਿਟ ਦੌਰਾਨ ਕਮਜ਼ੋਰੀ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ ਆਯੋਜਿਤ ਕੀਤਾ ਗਿਆ ਸੀ 2015 ਵਿੱਚ, ਅਤੇ ਨਵੀਂ ਕਮਜ਼ੋਰੀ ਮਈ 2018 ਤੋਂ ਮੌਜੂਦ ਹੈ)। ਸਮੱਸਿਆ ਖਤਮ ਕੀਤਾ OpenSMTPD 6.6.2 ਦੇ ਰੀਲੀਜ਼ ਵਿੱਚ। ਸਾਰੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਤੁਰੰਤ ਅਪਡੇਟ ਨੂੰ ਸਥਾਪਤ ਕਰਨ ਦੀ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ (ਓਪਨਬੀਐਸਡੀ ਲਈ, ਪੈਚ ਨੂੰ ਸਿਸਪੈਚ ਦੁਆਰਾ ਸਥਾਪਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ)।

ਦੋ ਤਰ੍ਹਾਂ ਦੇ ਹਮਲੇ ਦੀ ਤਜਵੀਜ਼ ਰੱਖੀ ਗਈ ਹੈ। ਪਹਿਲਾ ਵਿਕਲਪ ਡਿਫਾਲਟ OpenSMTPD ਸੰਰਚਨਾ ਵਿੱਚ ਕੰਮ ਕਰਦਾ ਹੈ (ਸਿਰਫ਼ ਲੋਕਲਹੋਸਟ ਤੋਂ ਬੇਨਤੀਆਂ ਪ੍ਰਾਪਤ ਕਰਨਾ) ਅਤੇ ਤੁਹਾਨੂੰ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਸਮੱਸਿਆ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਜਦੋਂ ਹਮਲਾਵਰ ਸਰਵਰ 'ਤੇ ਸਥਾਨਕ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ (ਲੂਪਬੈਕ) ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੇ ਯੋਗ ਹੁੰਦਾ ਹੈ (ਉਦਾਹਰਨ ਲਈ, ਹੋਸਟਿੰਗ ਸਿਸਟਮਾਂ 'ਤੇ) . ਦੂਜਾ ਵਿਕਲਪ ਉਦੋਂ ਦਿਸਦਾ ਹੈ ਜਦੋਂ OpenSMTPD ਨੂੰ ਬਾਹਰੀ ਨੈੱਟਵਰਕ ਬੇਨਤੀਆਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਲਈ ਸੰਰਚਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ (ਇੱਕ ਮੇਲ ਸਰਵਰ ਜੋ ਤੀਜੀ-ਧਿਰ ਮੇਲ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ)। ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਇੱਕ ਪ੍ਰੋਟੋਟਾਈਪ ਸ਼ੋਸ਼ਣ ਤਿਆਰ ਕੀਤਾ ਹੈ ਜੋ OpenBSD 6.6 ਤੋਂ OpenSMTPD ਵੇਰੀਐਂਟ ਅਤੇ ਦੂਜੇ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮਾਂ (ਡੇਬੀਅਨ ਟੈਸਟਿੰਗ ਵਿੱਚ ਸੰਚਾਲਿਤ) ਲਈ ਇੱਕ ਪੋਰਟੇਬਲ ਸੰਸਕਰਣ ਦੇ ਨਾਲ ਸਫਲਤਾਪੂਰਵਕ ਕੰਮ ਕਰਦਾ ਹੈ।

ਸਮੱਸਿਆ smtp_mailaddr() ਫੰਕਸ਼ਨ ਵਿੱਚ ਇੱਕ ਤਰੁੱਟੀ ਕਾਰਨ ਹੋਈ ਹੈ, ਜਿਸਨੂੰ "ਮੇਲ ਫਰਮ" ਅਤੇ "RCPT TO" ਖੇਤਰਾਂ ਵਿੱਚ ਮੁੱਲਾਂ ਦੀ ਸ਼ੁੱਧਤਾ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਕਿਹਾ ਜਾਂਦਾ ਹੈ ਜੋ ਭੇਜਣ ਵਾਲੇ/ਪ੍ਰਾਪਤਕਰਤਾ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਦੇ ਹਨ ਅਤੇ ਕਨੈਕਸ਼ਨ ਦੌਰਾਨ ਸੰਚਾਰਿਤ ਹੁੰਦੇ ਹਨ। ਮੇਲ ਸਰਵਰ ਨੂੰ. smtp_mailaddr() ਫੰਕਸ਼ਨ ਨੂੰ smtp_mailaddr() ਵਿੱਚ ਮੇਲ ਐਡਰੈੱਸ ਦੇ ਉਸ ਹਿੱਸੇ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਕਿਹਾ ਜਾਂਦਾ ਹੈ ਜੋ "@" ਅੱਖਰ ਤੋਂ ਪਹਿਲਾਂ ਆਉਂਦਾ ਹੈ।
valid_localpart(), ਜੋ ਕਿ "!#$%&'*/?^`{|}~+-=_" ਅੱਖਰ ਮੰਨਦਾ ਹੈ (MAILADDR_ALLOWED), ਜਿਵੇਂ ਕਿ RFC 5322 ਦੁਆਰਾ ਲੋੜੀਂਦਾ ਹੈ।

ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਸਤਰ ਸਿੱਧੇ mda_expand_token() ਫੰਕਸ਼ਨ ਵਿੱਚ ਬਚ ਜਾਂਦੀ ਹੈ, ਜੋ ਸਿਰਫ ਅੱਖਰਾਂ ਨੂੰ ਬਦਲਦੀ ਹੈ "!#$%&'*?`{|}~" (MAILADDR_ESCAPE)। ਅੱਗੇ, mda_expand_token() ਵਿੱਚ ਤਿਆਰ ਕੀਤੀ ਸਤਰ ਦੀ ਵਰਤੋਂ ਡਿਲੀਵਰੀ ਏਜੰਟ (MDA) ਨੂੰ 'execle("/bin/sh", "/bin/sh", "-c", mda_command,…' ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਮੇਲ। /bin/sh ਰਾਹੀਂ mbox ਲਈ, ਲਾਈਨ "/usr/libexec/mail.local -f %%{mbox.from} %%{user.username}" ਚਲਾਈ ਜਾਂਦੀ ਹੈ, ਜਿੱਥੇ ਮੁੱਲ "%{mbox.from}" ਹੁੰਦਾ ਹੈ। "ਮੇਲ ਫਰੋਮ" ਪੈਰਾਮੀਟਰ ਤੋਂ ਬਚਿਆ ਡੇਟਾ ਸ਼ਾਮਲ ਕਰਦਾ ਹੈ।

ਕਮਜ਼ੋਰੀ ਦਾ ਸਾਰ ਇਹ ਹੈ ਕਿ smtp_mailaddr() ਵਿੱਚ ਇੱਕ ਲਾਜ਼ੀਕਲ ਗਲਤੀ ਹੈ, ਜਿਸ ਕਾਰਨ, ਜੇਕਰ ਇੱਕ ਖਾਲੀ ਡੋਮੇਨ ਈਮੇਲ ਵਿੱਚ ਪਾਸ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਫੰਕਸ਼ਨ ਇੱਕ ਸਫਲ ਪੁਸ਼ਟੀਕਰਨ ਕੋਡ ਵਾਪਸ ਕਰਦਾ ਹੈ, ਭਾਵੇਂ ਕਿ “@” ਤੋਂ ਪਹਿਲਾਂ ਦੇ ਪਤੇ ਦੇ ਹਿੱਸੇ ਵਿੱਚ ਅਵੈਧ ਅੱਖਰ ਸ਼ਾਮਲ ਹਨ। ਅੱਗੇ, ਜਦੋਂ mda_expand_token() ਫੰਕਸ਼ਨ ਨਾਲ ਇੱਕ ਸਤਰ ਤਿਆਰ ਕਰਦੇ ਹੋ, ਤਾਂ ਸਾਰੇ ਸੰਭਵ ਸ਼ੈੱਲ ਵਿਸ਼ੇਸ਼ ਅੱਖਰ ਬਚੇ ਨਹੀਂ ਹੁੰਦੇ, ਪਰ ਮੇਲ ਐਡਰੈੱਸ ਵਿੱਚ ਸਿਰਫ਼ ਵਿਸ਼ੇਸ਼ ਅੱਖਰ ਹੀ ਮਨਜ਼ੂਰ ਹੁੰਦੇ ਹਨ। ਇਸ ਤਰ੍ਹਾਂ, ਤੁਹਾਡੀ ਕਮਾਂਡ ਨੂੰ ਚਲਾਉਣ ਲਈ, ਈਮੇਲ ਦੇ ਸਥਾਨਕ ਹਿੱਸੇ ਵਿੱਚ ";" ਚਿੰਨ੍ਹ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਕਾਫ਼ੀ ਹੈ। ਅਤੇ ਸਪੇਸ, ਜੋ ਕਿ MAILADDR_ESCAPE ਸੈੱਟ ਵਿੱਚ ਨਹੀਂ ਹਨ ਅਤੇ ਬਚੇ ਨਹੀਂ ਹਨ। ਉਦਾਹਰਣ ਲਈ:

$nc 127.0.0.1 25

HELO professor.falken
ਇਸ ਤੋਂ ਮੇਲ:<;ਸਲੀਪ 66;>
RCPT ਨੂੰ:
ਡਾਟਾ
.
QUIT

ਇਸ ਸੈਸ਼ਨ ਤੋਂ ਬਾਅਦ, OpenSMTPD, ਜਦੋਂ mbox ਨੂੰ ਡਿਲੀਵਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਸ਼ੈੱਲ ਰਾਹੀਂ ਕਮਾਂਡ ਚਲਾਏਗਾ

/usr/libexec/mail.local -f ;ਸਲੀਪ 66; ਰੂਟ

ਉਸੇ ਸਮੇਂ, ਹਮਲੇ ਦੀਆਂ ਸੰਭਾਵਨਾਵਾਂ ਇਸ ਤੱਥ ਦੁਆਰਾ ਸੀਮਤ ਹਨ ਕਿ ਪਤੇ ਦਾ ਸਥਾਨਕ ਹਿੱਸਾ 64 ਅੱਖਰਾਂ ਤੋਂ ਵੱਧ ਨਹੀਂ ਹੋ ਸਕਦਾ, ਅਤੇ ਵਿਸ਼ੇਸ਼ ਅੱਖਰ '$' ਅਤੇ '|' ਬਚਣ ਵੇਲੇ ":" ਨਾਲ ਬਦਲਿਆ ਜਾਂਦਾ ਹੈ। ਇਸ ਸੀਮਾ ਨੂੰ ਰੋਕਣ ਲਈ, ਇਹ ਤੱਥ ਕਿ ਸੁਨੇਹੇ ਦਾ ਮੁੱਖ ਹਿੱਸਾ /usr/libexec/mail.local ਨੂੰ ਇਨਪੁਟ ਸਟ੍ਰੀਮ ਰਾਹੀਂ ਚਲਾਉਣ ਤੋਂ ਬਾਅਦ ਪ੍ਰਸਾਰਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ. ਐਡਰੈੱਸ ਨਾਲ ਹੇਰਾਫੇਰੀ ਦੁਆਰਾ, ਤੁਸੀਂ ਸਿਰਫ sh ਕਮਾਂਡ ਇੰਟਰਪ੍ਰੇਟਰ ਨੂੰ ਲਾਂਚ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ ਅੱਖਰ ਦੇ ਮੁੱਖ ਭਾਗ ਨੂੰ ਨਿਰਦੇਸ਼ਾਂ ਦੇ ਸੈੱਟ ਵਜੋਂ ਵਰਤ ਸਕਦੇ ਹੋ। ਕਿਉਂਕਿ ਸੇਵਾ SMTP ਸਿਰਲੇਖ ਅੱਖਰ ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ ਦਰਸਾਏ ਗਏ ਹਨ, ਉਹਨਾਂ ਨੂੰ ਛੱਡਣ ਲਈ ਲੂਪ ਵਿੱਚ ਰੀਡ ਕਮਾਂਡ ਕਾਲ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਾ ਸੁਝਾਅ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਕਾਰਜਸ਼ੀਲ ਸ਼ੋਸ਼ਣ ਕੁਝ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ:

$nc 192.168.56.143 25

HELO professor.falken
ਇਸ ਤੋਂ ਮੇਲ:<;ਲਈ ਮੈਂ 0 1 2 3 4 5 6 7 8 9 abcd; ਪੜ੍ਹੋ r;done;sh;exit 0;>
RCPT ਨੂੰ:[ਈਮੇਲ ਸੁਰੱਖਿਅਤ]>
ਡਾਟਾ
#0
#1
...
#d
WOPR ਵਿੱਚ i ਲਈ; ਕਰਦੇ ਹਨ
echo -n "($i) " && id || ਤੋੜ
ਹੋ ਗਿਆ > /root/x."`id -u`"."$$"
.
QUIT

ਸਰੋਤ: opennet.ru