O projeto Zero Day Initiative (ZDI) revelou informações sobre vulnerabilidades não corrigidas (0-day) (CVE-2023-42115, CVE-2023-42116, CVE-2023-42117) no servidor de e-mail Exim, que permitem a execução remota de código no servidor com os direitos do processo que aceita conexões na porta de rede 25. A autenticação não é necessária para realizar o ataque.
A primeira vulnerabilidade (CVE-2023-42115) é causada por um erro no serviço SMTP e está relacionada à falta de verificações adequadas dos dados recebidos do usuário durante a sessão SMTP, utilizados para calcular o tamanho do buffer. Como resultado, o atacante pode conseguir gravar de forma controlada seus dados na área de memória fora do buffer alocado.
A segunda vulnerabilidade (CVE-2023-42116) está presente no manipulador de solicitações NTLM e é causada pela cópia dos dados recebidos do usuário para um buffer de tamanho fixo sem as verificações necessárias do tamanho das informações a serem gravadas.
A terceira vulnerabilidade (CVE-2023-42117) está presente no processo SMTP que aceita conexões na porta TCP 25 e é causada pela falta de verificação dos dados de entrada, o que pode resultar na gravação dos dados enviados pelo usuário na área de memória além do buffer alocado.
As vulnerabilidades estão marcadas como 0-day, ou seja, permanecem não corrigidas, mas o relatório do ZDI afirma que os desenvolvedores do Exim foram informados antecipadamente sobre os problemas. A última alteração no código base do Exim foi feita há dois dias, e ainda não está claro quando os problemas serão solucionados (os fornecedores de distribuições ainda não conseguiram reagir, pois as informações foram divulgadas sem detalhes algumas horas atrás). Atualmente, os desenvolvedores do Exim estão se preparando para lançar uma nova versão 4.97, mas não há dados exatos sobre o momento de sua publicação. Como o único método de proteção mencionado até o momento está a restrição de acesso ao serviço SMTP baseado em Exim.
Além das vulnerabilidades críticas mencionadas, também foram reveladas informações sobre vários problemas menos perigosos:
- CVE-2023-42118 — estouro de inteiro na biblioteca libspf2, manifestando-se ao analisar macros SPF. A vulnerabilidade permite iniciar a corrupção remota do conteúdo da memória e pode ser potencialmente utilizada para executar seu código. servidor.
- CVE-2023-42114 — um erro que leva à leitura de memória fora do buffer no manipulador NTLM. O problema pode causar um vazamento de conteúdo da memória do processo que atende a solicitações de rede.
- CVE-2023-42119 — uma vulnerabilidade no manipulador dnsdb que leva ao vazamento de conteúdo da memória do processo smtp.
Fonte: opennet.ru
