Kohët e fundit, në fillim të verës, pati thirrje të përhapura që Exim të përditësohej në versionin 4.92 për shkak të cenueshmërisë CVE-2019-10149 (). Dhe së fundmi doli se malware Sustes vendosi të përfitonte nga kjo dobësi.
Tani të gjithë ata që përditësuan urgjentisht mund të "gëzohen" përsëri: më 21 korrik 2019, studiuesi Zerons zbuloi një cenueshmëri kritike në Agjenti Exim Mail Transfer (MTA) kur përdorni TLS për versionet nga 4.80 4.92.1 up përfshirëse, duke lejuar të largët ekzekutoni kodin me të drejta të privilegjuara ().
Prekshmëria
Dobësia është e pranishme kur përdorni bibliotekat GnuTLS dhe OpenSSL kur krijoni një lidhje të sigurt TLS.
Sipas zhvilluesit Heiko Schlittermann, skedari i konfigurimit në Exim nuk përdor TLS si parazgjedhje, por shumë shpërndarje krijojnë certifikatat e nevojshme gjatë instalimit dhe mundësojnë një lidhje të sigurt. Gjithashtu versionet më të reja të Exim instalojnë opsionin tls_advertise_hosts=* dhe gjenerojnë certifikatat e nevojshme.
varet nga konfigurimi. Shumica e shpërndarjeve e mundësojnë atë si parazgjedhje, por Exim ka nevojë për një certifikatë+çelës për të punuar si një server TLS. Ndoshta Distros krijojnë një Cert gjatë konfigurimit. Exims më të reja kanë opsionin tls_advertise_hosts të paracaktuar në "*" dhe krijojnë një certifikatë të vetë-nënshkruar, nëse nuk ofrohet asnjë.
Dobësia në vetvete qëndron në përpunimin e gabuar të SNI (Server Name Indication, një teknologji e prezantuar në 2003 në RFC 3546 që një klient të kërkojë certifikatën e saktë për një emër domaini, ) gjatë një shtrëngimi duarsh TLS. Një sulmues duhet vetëm të dërgojë një SNI që përfundon me një vijë të prapme ("") dhe një karakter null (" ").
Studiuesit nga Qualys kanë zbuluar një gabim në funksionin string_printing(tls_in.sni), i cili përfshin ikjen e gabuar të "". Si rezultat, vija e prapme shkruhet pa ikje në skedarin e kokës së bobinës së printimit. Ky skedar më pas lexohet me të drejta të privilegjuara nga funksioni spool_read_header(), i cili çon në tejmbushjen e grumbullit.
Vlen të përmendet se për momentin, zhvilluesit e Exim kanë krijuar një PoC dobësish me ekzekutimin e komandave në një server të prekshëm në distancë, por ai ende nuk është i disponueshëm publikisht. Për shkak të lehtësisë së shfrytëzimit të defektit, është vetëm çështje kohe dhe mjaft e shkurtër.
Mund të gjendet një studim më i detajuar nga Qualys .
Përdorimi i SNI në TLS
Numri i serverëve publikë potencialisht të cenueshëm
Sipas statistikave nga një ofrues i madh pritës E-Soft Inc që nga 1 shtatori, në serverët e marrë me qira, versioni 4.92 përdoret në më shumë se 70% të hosteve.
Version
Numri i serverave
Përqind
4.92.1
6471
1.28%
4.92
376436
74.22%
4.91
58179
11.47%
4.9
5732
1.13%
4.89
10700
2.11%
4.87
14177
2.80%
4.84
9937
1.96%
Versione të tjera
25568
5.04%
Statistikat e kompanisë E-Soft Inc
Nëse përdorni një motor kërkimi , pastaj nga 5,250,000 në bazën e të dhënave të serverit:
- rreth 3,500,000 përdorin Exim 4.92 (rreth 1,380,000 duke përdorur SSL/TLS);
- mbi 74,000 duke përdorur 4.92.1 (rreth 25,000 duke përdorur SSL/TLS).
Kështu, serverët potencialisht të cenueshëm Exim të njohur dhe të aksesueshëm publikisht janë rreth 1.5 milion.
Kërkoni për serverë Exim në Shodan
mbrojtje
- Opsioni më i thjeshtë, por jo i rekomanduar, është të mos përdorni TLS, gjë që do të rezultojë në dërgimin e mesazheve të emailit në mënyrë të qartë.
- Për të shmangur shfrytëzimin e cenueshmërisë, do të ishte më e preferueshme të përditësohej në version .
- Nëse është e pamundur të përditësoni ose instaloni një version të korrigjuar, mund të vendosni një ACL në konfigurimin Exim për opsionin acl_smtp_mail me rregullat e mëposhtme:
# to be prepended to your mail acl (the ACL referenced # by the acl_smtp_mail main config option) deny condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}} deny condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}
Burimi: www.habr.com