Рањивост на кмаил серверу поште која се може даљински искористити

Истраживачи безбедности из Куалиса показао прилика eksploatacije рањивости на кмаил серверу поште, чувени још 2005. (ЦВЕ-2005-1513), али је остао незакрпљен јер је аутор кмаил-а тврдио да је нереално креирати радни експлоат који би могао да се користи за напад на системе у подразумеваној конфигурацији. Куалис је био у могућности да припреми експлоатацију која оповргава ову претпоставку и омогућава да се покрене даљинско извршавање кода на серверу слањем посебно дизајниране поруке.

Проблем је узрокован прекорачењем целог броја у функцији страллоц_реадиплус(), до којег може доћи приликом обраде веома велике поруке. За рад је био потребан 64-битни систем са више од 4 ГБ виртуелне меморије. Када је рањивост првобитно анализирана 2005. године, Даниел Ј. Бернстеин је тврдио да је претпоставка у коду да је величина додељеног низа увек унутар 32-битне вредности заснована на чињеници да нико не даје гигабајте меморије сваком процесу. Током протеклих 15 година, 64-битни системи на серверима су заменили 32-битне системе, а количина испоручене меморије и пропусни опсег мреже су драматично порасли.

Одржавачи кмаил пакета су узели у обзир Бернстеинову напомену и ограничили доступну меморију приликом покретања кмаил-смтпд процеса (на пример, у Дебиан-у 10 ограничење је постављено на 7МБ). Али инжењери из Куалиса су открили да то није довољно и, поред кмаил-смтпд, може се извршити даљински напад на кмаил-лоцал процес, који је остао неограничен у свим тестираним пакетима. Као доказ, припремљен је прототип експлоатације који је био погодан за напад на Дебиан пакет са кмаилом у подразумеваној конфигурацији.
Да би организовао даљинско извршавање кода током напада, серверу је потребно 4 ГБ слободног простора на диску и 8 ГБ РАМ-а.
Експлоатација вам омогућава да покренете било које команде љуске са правима било ког корисника у систему, осим за роот и системске кориснике који немају сопствени поддиректоријум у директоријуму „/хоме“ (кмаил-лоцал процес се покреће са правима локалног корисника коме се врши достава).

Напад је изведен
слањем веома велике поруке поште, укључујући неколико линија заглавља, величине приближно 4ГБ и 576МБ. Обрада таквог стринга у кмаил-лоцал резултира преливањем целог броја при покушају испоруке поруке локалном кориснику. Преливање целог броја онда доводи до прекорачења бафера приликом копирања података и могућности преписивања меморијских страница са либц кодом. Манипулисањем распореда пренетих података, такође је могуће преписати адресу функције „опен()“, замењујући је адресом функције „систем()“.

Затим, у процесу позивања кмесеарцх() у кмаил-лоцал, датотека “.кмаил-ектенсион” се отвара преко опен() функције, што доводи до стварног извршавања функције
систем(".кмаил-ектенсион"). Али пошто се део датотеке „проширења“ генерише на основу адресе примаоца (на пример, „лоцалусер-ектенсион@лоцалдомаин“), нападачи могу да организују да се наредба пошаље тако што ће навести корисника „лоцалусер-;цомманд ;@лоцалдомаин” као прималац поруке.

Током анализе кода, две рањивости су такође идентификоване у додатној кмаил-верифи закрпи, која је део пакета за Дебиан. Прва рањивост (ЦВЕ-КСНУМКС-КСНУМКС) вам омогућава да заобиђете верификацију адресе е-поште, а други (ЦВЕ-КСНУМКС-КСНУМКС) доводи до цурења локалних информација. Конкретно, прва рањивост вам омогућава да заобиђете верификацију тачности адресе коришћене у експлоатацији за слање команде (верификација не функционише за адресе без домена, као што је „лоцалусер-;цомманд;“). Друга рањивост се може користити за проверу присуства датотека и директоријума у ​​систему, укључујући оне доступне само роот-у (кмаил-верифи ради са роот правима), путем директног позива локалног руковаоца.

Да би се решио проблем, Бернстеин је препоручио покретање кмаил процеса са укупним ограничењем доступне меморије („софтлимит -м12345678“), у ком случају је проблем блокиран. Као алтернативни начин заштите помиње се и ограничавање максималне величине обрађене поруке преко датотеке „цонтрол/датабитес“ (подразумевано се не креира са подразумеваним подешавањима кмаил остаје рањив). Поред тога, „цонтрол/датабитес“ не штити од локалних напада корисника система, пошто ограничење узима у обзир само кмаил-смтпд.

Проблем утиче на пакет неткмаил, укључено у Дебиан спремишта. За овај пакет припремљен је сет закрпа, елиминишући како старе рањивости из 2005. године (додавањем ограничења чврсте меморије коду функције аллоц()) тако и нове проблеме у кмаил-верифи. Одвојено припремљен ажурирана верзија кмаил-верифи закрпе. Девелоперс гране ноткмаил припремили сопствене закрпе да блокирају старе проблеме, а такође су почели да раде на елиминисању свих могућих прекорачења целог броја у коду.

Извор: опеннет.ру