{"id":71318,"date":"2020-02-25T07:34:19","date_gmt":"2020-02-25T04:34:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root"},"modified":"2020-03-03T16:10:53","modified_gmt":"2020-03-03T13:10:53","slug":"uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","title":{"rendered":"Vulnerabilidades no OpenSMTPD permitem acesso remoto e local com privil\u00e9gios de root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Empresa Qualys expose<\/a><\/noindex> mais uma vulnerabilidade cr\u00edtica remota (CVE-2020-8794) no servidor de e-mail , multiplexador de terminal de texto (semelhante ao GNU screen)<\/a><\/noindex>, desenvolvido pelo projeto OpenBSD. Assim como a vulnerabilidade descoberta no final de janeiro uma vulnerabilidade<\/a><\/noindex>, este novo problema permite a execu\u00e7\u00e3o remota de comandos shell no servidor com privil\u00e9gios de usu\u00e1rio root. A vulnerabilidade no lan\u00e7amento<\/a><\/noindex> Lan\u00e7amento do Chrome OS 78 com suporte para desktops virtuais OpenSMTPD 6.6.4p1<\/a><\/noindex>. <\/p>\n

\u00e9 causada por um erro no c\u00f3digo que realiza a entrega de e-mails para servidores de e-mail remotos (n\u00e3o no c\u00f3digo que processa conex\u00f5es de entrada). O ataque pode ocorrer tanto do lado do cliente quanto do lado do servidor. Do lado do cliente, o ataque \u00e9 poss\u00edvel na configura\u00e7\u00e3o padr\u00e3o do OpenSMTPD, onde o OpenSMTPD aceita solicita\u00e7\u00f5es apenas na interface de rede interna (localhost) e envia mensagens de e-mail para servidores externos. Para explorar a vulnerabilidade, \u00e9 suficiente que, no processo de entrega do e-mail, o OpenSMTPD estabele\u00e7a uma sess\u00e3o com um servidor de e-mail sob controle do atacante, ou que o atacante consiga se intrometer na conex\u00e3o do cliente (MITM ou redirecionamento durante ataques via DNS ou BGP).<\/p>\n

Para atacar do lado do servidor, \u00e9 necess\u00e1rio que o OpenSMTPD esteja configurado para aceitar solicita\u00e7\u00f5es de rede externas de outros servidores de e-mail ou forne\u00e7a servi\u00e7os de terceiros que permitam enviar solicita\u00e7\u00f5es para um e-mail arbitr\u00e1rio (por exemplo, formul\u00e1rios de confirma\u00e7\u00e3o de endere\u00e7o em sites). Por exemplo, um invasor pode se conectar ao servidor OpenSMTPD e enviar um e-mail incorreto (para um usu\u00e1rio inexistente), o que resultar\u00e1 no envio de uma mensagem de erro (bounce) para o servidor do atacante. O invasor pode explorar a vulnerabilidade no momento em que o OpenSMTPD se conectar para entregar uma notifica\u00e7\u00e3o ao servidor do atacante. Os comandos shell injetados durante o ataque s\u00e3o colocados em um arquivo que \u00e9 executado com privil\u00e9gios de root quando o OpenSMTPD \u00e9 reiniciado, portanto, o atacante deve aguardar o rein\u00edcio do OpenSMTPD ou causar a queda do OpenSMTPD.<\/p>\n

O problema est\u00e1 presente na fun\u00e7\u00e3o mta_io() no c\u00f3digo para analisar a resposta multilinha retornada pelo servidor remoto ap\u00f3s a conex\u00e3o (por exemplo, \u00ab250-ENHANCEDSTATUSCODES\u00bb e \u00ab250 HELP\u00bb). No OpenSMTPD, espera-se que a primeira linha inclua um n\u00famero de tr\u00eas d\u00edgitos e texto, separados pelo caractere \u00ab-\u00bb, enquanto a segunda linha apresenta um n\u00famero de tr\u00eas d\u00edgitos e texto, separados por espa\u00e7o. Se n\u00e3o houver um espa\u00e7o e texto ap\u00f3s o n\u00famero de tr\u00eas d\u00edgitos na segunda linha, o ponteiro usado para determinar o texto \u00e9 definido para o byte seguinte ao caractere \u2018\u2019 e uma tentativa de copiar os dados que seguem ap\u00f3s o final da linha \u00e9 realizada.<\/p>\n

A pedido do projeto OpenBSD, a divulga\u00e7\u00e3o de detalhes sobre a explora\u00e7\u00e3o da vulnerabilidade foi adiada at\u00e9 26 de fevereiro, para permitir que os usu\u00e1rios atualizem seus sistemas. O problema est\u00e1 presente na base de c\u00f3digo desde dezembro de 2015, mas a explora\u00e7\u00e3o de execu\u00e7\u00e3o de c\u00f3digo com privil\u00e9gios de root \u00e9 poss\u00edvel desde maio de 2018. Os pesquisadores desenvolveram um prot\u00f3tipo funcional do exploit, que foi testado com sucesso em builds do OpenSMTPD para OpenBSD 6.6, OpenBSD 5.9, Debian 10, Debian 11 (testing) e Fedora 31. <\/p>\n

No OpenSMTPD tamb\u00e9m foi identificada<\/a><\/noindex> existe outra vulnerabilidade (CVE-2020-8793), que permite a um usu\u00e1rio local ler a primeira linha de qualquer arquivo no sistema. Por exemplo, \u00e9 poss\u00edvel ler a primeira linha \/etc\/master.passwd, onde est\u00e1 o hash da senha do usu\u00e1rio root. A vulnerabilidade tamb\u00e9m permite que se leia todo o conte\u00fado de um arquivo pertencente a outro usu\u00e1rio, se esse arquivo estiver no mesmo sistema de arquivos que o diret\u00f3rio \/var\/spool\/smtpd\/. O problema n\u00e3o \u00e9 explor\u00e1vel na maioria das distribui\u00e7\u00f5es Linux onde o valor de \/proc\/sys\/fs\/protected_hardlinks \u00e9 definido como 1. <\/p>\n

O problema decorre da remo\u00e7\u00e3o incompleta problemas<\/a><\/noindex>, mencionadas durante a auditoria realizada pela Qualys em 2015. Um invasor pode conseguir executar seu c\u00f3digo com os privil\u00e9gios do grupo \u00ab_smtpq\u00bb, definindo a vari\u00e1vel \u00abPATH=.\u00bb e colocando no diret\u00f3rio atual um script chamado makemap (a ferramenta smtpctl executa makemap sem especificar explicitamente o caminho). Ap\u00f3s obter acesso ao grupo \u00ab_smtpq\u00bb, o invasor pode ent\u00e3o desencadear uma condi\u00e7\u00e3o de corrida (criar um grande arquivo no diret\u00f3rio offline e enviar um sinal SIGSTOP) e, antes que o processamento seja conclu\u00eddo, substituir o arquivo no diret\u00f3rio offline por um link simb\u00f3lico r\u00edgido apontando para o arquivo de destino, cujo conte\u00fado precisa ser lido.<\/p>\n

Notavelmente, no Fedora 31, a vulnerabilidade permite obter imediatamente privil\u00e9gios do grupo root, uma vez que o processo smtpctl est\u00e1 equipado com a bandeira setgid root, em vez de setgid smtpq. Obtendo acesso ao grupo root, \u00e9 poss\u00edvel sobrescrever o conte\u00fado de \/var\/lib\/sss\/mc\/passwd e obter acesso total de root ao sistema.<\/p>\n

<\/a><\/noindex><\/p>\n

Fonte: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Qualys \u0432\u044b\u044f\u0432\u0438\u043b\u0430 \u0435\u0449\u0451 \u043e\u0434\u043d\u0443 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u0443\u044e \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-8794) \u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 OpenSMTPD, \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c OpenBSD. \u041a\u0430\u043a \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u0432 \u043a\u043e\u043d\u0446\u0435 \u044f\u043d\u0432\u0430\u0440\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043d\u043e\u0432\u0430\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u0430\u0451\u0442 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b shell \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0435 OpenSMTPD 6.6.4p1. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432\u044b\u0437\u0432\u0430\u043d\u0430 \u043e\u0448\u0438\u0431\u043a\u043e\u0439 \u0432 \u043a\u043e\u0434\u0435, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u044e\u0449\u0435\u043c \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0443 \u043f\u043e\u0447\u0442\u044b \u043d\u0430 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0439 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-71318","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vulnerabilidades no OpenSMTPD que permitem obter privil\u00e9gios de root remotamente e localmente | ProHoster","description":"A empresa Qualys identificou mais uma vulnerabilidade cr\u00edtica remota (CVE-2020-8794) no servidor de correio.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 OpenSMTPD, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0435 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 root | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Qualys \u0432\u044b\u044f\u0432\u0438\u043b\u0430 \u0435\u0449\u0451 \u043e\u0434\u043d\u0443 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u0443\u044e \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-8794) \u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435.","og:url":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimosti-v-opensmtpd-pozvolyayushhie-udalyonno-i-lokalno-poluchit-prava-root","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-25T04:34:19+00:00","article:modified_time":"2020-03-03T13:10:53+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"71318","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:04:24","updated":"2022-09-28 08:07:40","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/71318","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=71318"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/71318\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=71318"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=71318"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=71318"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}