{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Am patchat Exim - patcha\u021bi din nou. O nou\u0103 Executare de Comenzi de la Distan\u021b\u0103 \u00een Exim 4.92 \u00eentr-o singur\u0103 solicitare","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Am<\/p>\n

Aproape de cur\u00e2nd, la \u00eenceputul verii, au \u00eenceput apeluri masive pentru actualizarea Exim la versiunea 4.92 din cauza vulnerabilit\u0103\u021bii CVE-2019-10149 (Actualiza\u021bi urgent exim la 4.92 \u2014 are loc o infectare activ\u0103 \/ Habr<\/a><\/noindex>). Iar zilele acestea s-a descoperit c\u0103 malware-ul Sustes a decis s\u0103 profite de aceast\u0103 vulnerabilitate.<\/p>\n

Acum to\u021bi cei care s-au actualizat de urgen\u021b\u0103 se pot bucura din nou: pe 21 iulie 2019, cercet\u0103torul Zerons a descoperit o vulnerabilitate critic\u0103 \u00een Exim Mail Transfer agent (MTA) atunci c\u00e2nd se utilizeaz\u0103 TLS<\/strong> pentru versiunile de la 4.80 p\u00e2n\u0103 la 4.92.1<\/strong> inclusiv, care permite \u00een mod remote executarea codului cu privilegii de administrator<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

Vulnerabilitatea<\/h3>\n

Vulnerabilitatea este prezent\u0103 la utilizarea bibliotecilor at\u00e2t GnuTLS, c\u00e2t \u0219i OpenSSL la stabilirea unei conexiuni TLS securizate.<\/p>\n

Potrivit dezvoltatorului Heiko Schlittermann, fi\u0219ierul de configurare \u00een Exim implicit nu utilizeaz\u0103 TLS, totu\u0219i multe distribu\u021bii \u00een timpul instal\u0103rii creeaz\u0103 certificatele necesare \u0219i includ conexiunea securizat\u0103. De asemenea, versiunile mai noi de Exim activeaz\u0103 op\u021biunea tls_advertise_hosts=*<\/em> \u0219i genereaz\u0103 certificatele necesare.<\/p>\n

depinde de configurare. Cele mai multe distribu\u021bii \u00eel activeaz\u0103 implicit, dar Exim necesit\u0103 un certificat + cheie pentru a func\u021biona ca server TLS. Probabil c\u0103 distribu\u021biile creeaz\u0103 un certificat \u00een timpul configur\u0103rii. Exim-urile mai noi au op\u021biunea tls_advertise_hosts, setat\u0103 implicit pe «*» \u0219i creeaz\u0103 un certificat auto-semnat, dac\u0103 nu este furnizat niciunul.<\/p><\/blockquote>\n

Vulnerabilitatea \u00een sine const\u0103 \u00een tratarea incorect\u0103 a SNI (Server Name Indication, tehnologie introdus\u0103 \u00een 2003 \u00een RFC 3546 pentru a solicita de la client un certificat corect pentru numele de domeniu, R\u0103sp\u00e2ndirea standardului TLS SNI \/ Blogul companiei WEBO Group \/ Habr<\/a><\/noindex>) \u00een timpul handshake-ului TLS. Un atacator trebuie doar s\u0103 trimit\u0103 un SNI care se termin\u0103 cu un backslash («») \u0219i un caracter nul (» «).<\/p>\n

Cercet\u0103torii de la Qualys au descoperit o vulnerabilitate \u00een func\u021bia string_printing(tls_in.sni), care const\u0103 \u00een escaparea incorect\u0103 a «». Ca rezultat, un backslash este scris neescapat \u00een fi\u0219ierul anteturilor print spool. Ulterior, acest fi\u0219ier cu privilegii ridicate este citit de func\u021bia spool_read_header(), ceea ce duce la o suprascriere a heap-ului (heap overflow).<\/p>\n

Merit\u0103 men\u021bionat c\u0103 \u00een prezent, dezvoltatorii Exim au creat un PoC al vulnerabilit\u0103\u021bii care permite execu\u021bia de comenzi pe un server vulnerabil la distan\u021b\u0103, dar acesta nu este \u00eenc\u0103 disponibil publicului. Datorit\u0103 simplit\u0103\u021bii de exploatare a bug-ului, este doar o chestiune de timp, \u0219i anume, destul de scurt.<\/strong><\/p>\n

Pute\u021bi consulta o cercetare mai detaliat\u0103 a companiei Qualys aici<\/a><\/noindex>.<\/p>\n

\"Am<\/p>\n

Folosirea SNI \u00een TLS<\/em><\/p>\n

Num\u0103rul serverelor publice poten\u021bial vulnerabile<\/h3>\n

Potrivit statisticilor unui mare furnizor de hosting E-Soft Inc<\/strong> la 1 septembrie, versiunea 4.92 este utilizat\u0103 pe mai mult de 70% dintre serverele \u00eenchiriate.<\/p>\n

Version
\nNum\u0103rul Serverelor
\nProcent<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Alte versiuni
\n25568
\n5.04%<\/p>\n

Statistica companiei E-Soft Inc<\/em><\/p>\n

Dac\u0103 ne adres\u0103m motorului de c\u0103utare Shodan<\/strong><\/a><\/noindex>, din cele 5.250.000 din baza de date a serverelor:<\/p>\n