{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Patchou o Exim \u2014 fa\u00e7a o patch novamente. Nova execu\u00e7\u00e3o remota de comandos no Exim 4.92 em uma \u00fanica solicita\u00e7\u00e3o","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Patchou<\/p>\n

Recentemente, no in\u00edcio do ver\u00e3o, surgiram convites em massa para atualizar o Exim para a vers\u00e3o 4.92 devido \u00e0 vulnerabilidade CVE-2019-10149 (Atualize urgentemente o exim para 4.92 \u2014 infec\u00e7\u00f5es est\u00e3o se espalhando \/ Habr<\/a><\/noindex>). E dias atr\u00e1s, descobriu-se que o malware Sustes decidiu explorar essa vulnerabilidade.<\/p>\n

Agora, todos os que atualizaram rapidamente podem novamente \"se alegrar\": em 21 de julho de 2019, o pesquisador Zerons descobriu uma vulnerabilidade cr\u00edtica no Exim Mail Transfer agent (MTA) ao usar TLS<\/strong> para vers\u00f5es de 4.80 a 4.92.1<\/strong> inclusive, permitindo que um c\u00f3digo seja executado remotamente com privil\u00e9gios elevados.<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

Vulnerabilidade<\/h3>\n

A vulnerabilidade est\u00e1 presente ao usar bibliotecas tanto GnuTLS quanto OpenSSL ao estabelecer uma conex\u00e3o TLS segura.<\/p>\n

Segundo o desenvolvedor Heiko Schlittermann, o arquivo de configura\u00e7\u00e3o no Exim por padr\u00e3o n\u00e3o utiliza TLS, no entanto, muitas distribui\u00e7\u00f5es durante a instala\u00e7\u00e3o criam os certificados necess\u00e1rios e incluem a conex\u00e3o segura. Al\u00e9m disso, vers\u00f5es mais novas do Exim configuram a op\u00e7\u00e3o tls_advertise_hosts=*<\/em> e geram os certificados necess\u00e1rios.<\/p>\n

depende da configura\u00e7\u00e3o. A maioria das distribui\u00e7\u00f5es a habilita por padr\u00e3o, mas o Exim precisa de um certificado+chave para funcionar como um servidor TLS. Provavelmente, as distribui\u00e7\u00f5es criam um Cert durante a configura\u00e7\u00e3o. Exims mais novos t\u00eam a op\u00e7\u00e3o tls_advertise_hosts padr\u00e3o definida como \u00ab*\u00bb e criam um certificado autoassinado, caso nenhum seja fornecido.<\/p><\/blockquote>\n

A vulnerabilidade em si reside no processamento incorreto do SNI (Server Name Indication, tecnologia introduzida em 2003 no RFC 3546 para solicitar ao cliente o certificado correto para um nome de dom\u00ednio, Dissemina\u00e7\u00e3o do padr\u00e3o TLS SNI \/ Blog da empresa WEBO Group \/ Habr<\/a><\/noindex>) durante o handshake TLS. Um invasor s\u00f3 precisa enviar SNI que termina com uma barra invertida (\u00ab\u00bb) e um caractere nulo (\u00bb \u00ab).<\/p>\n

Pesquisadores da Qualys descobriram um bug na fun\u00e7\u00e3o string_printing(tls_in.sni), que consiste em uma formata\u00e7\u00e3o incorreta de \u00ab\u00bb. Como resultado, uma barra invertida \u00e9 gravada de forma n\u00e3o escapada no arquivo de cabe\u00e7alho do spool de impress\u00e3o. Em seguida, esse arquivo com privil\u00e9gios \u00e9 lido pela fun\u00e7\u00e3o spool_read_header(), o que leva a uma sobrecarga de heap (heap overflow).<\/p>\n

Vale ressaltar que, at\u00e9 o momento, os desenvolvedores do Exim criaram um PoC da vulnerabilidade com execu\u00e7\u00e3o de comandos em um servidor vulner\u00e1vel remoto, mas ele ainda n\u00e3o est\u00e1 dispon\u00edvel publicamente. Devido \u00e0 facilidade de explora\u00e7\u00e3o do bug, \u00e9 apenas uma quest\u00e3o de tempo, e um tempo relativamente curto.<\/strong><\/p>\n

Voc\u00ea pode consultar uma pesquisa mais detalhada da Qualys aqui<\/a><\/noindex>.<\/p>\n

\"Patchou<\/p>\n

Uso do SNI em TLS<\/em><\/p>\n

N\u00famero de servidores p\u00fablicos potencialmente vulner\u00e1veis<\/h3>\n

De acordo com estat\u00edsticas de um grande provedor de hospedagem E-Soft Inc<\/strong> em 1\u00ba de setembro, em servidores alugados, a vers\u00e3o 4.92 \u00e9 utilizada em mais de 70% dos hosts.<\/p>\n

Vers\u00e3o
\nN\u00famero de Servidores
\nPorcentagem<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Outras vers\u00f5es
\n25568
\n5.04%<\/p>\n

Estat\u00edsticas da empresa E-Soft Inc<\/em><\/p>\n

Se pesquisarmos em um mecanismo de busca Shodan<\/strong><\/a><\/noindex>, dos 5.250.000 na base de servidores:<\/p>\n