Patched Exim - patch deui. Palaksanaan Paréntah Jauh seger dina Exim 4.92 dina hiji pamundut

Nu leuwih anyar, dina awal usum panas, aya panggero nyebar pikeun Exim pikeun diropéa kana versi 4.92 alatan kerentanan CVE-2019-10149 (Urgently ngamutahirkeun Exim ka 4.92 - aya inféksi aktip / Sudo Null IT News). Sareng nembé tétéla yén malware Sustes mutuskeun pikeun ngamangpaatkeun kerentanan ieu.

Ayeuna sadaya jalma anu énggal-énggal diropéa tiasa "bagja" deui: dina 21 Juli 2019, panalungtik Zerons mendakan kerentanan kritis dina Agen Transfer Surat Exim (MTA) nalika nganggo TLS pikeun versi ti 4.80 mun 4.92.1 inklusif, ngamungkinkeun jauh ngaéksekusi kode kalawan hak husus (CVE-2019-15846).

Kerentanan

Kerentanan aya nalika nganggo perpustakaan GnuTLS sareng OpenSSL nalika ngadamel sambungan TLS anu aman.

Numutkeun pamekar Heiko Schlittermann, file konfigurasi di Exim henteu nganggo TLS sacara standar, tapi seueur distribusi nyiptakeun sertipikat anu diperyogikeun nalika instalasi sareng ngaktifkeun sambungan anu aman. Ogé versi anyar tina Exim install pilihan tls_advertise_hosts=* sareng ngahasilkeun sertipikat anu diperyogikeun.

gumantung kana konfigurasi. Kaseueuran distro ngaktifkeun sacara standar, tapi Exim peryogi sertipikat + konci pikeun damel salaku server TLS. Panginten Distros nyiptakeun Cert salami pangaturan. Exims anu langkung énggal gaduh pilihan tls_advertise_hosts defaulting kana "*" sareng ngadamel sertipikat anu ditandatanganan nyalira, upami teu aya anu disayogikeun.

Kerentanan sorangan aya dina pamrosésan SNI anu salah (Server Name Indikasi, téknologi anu diwanohkeun dina 2003 di RFC 3546 pikeun klien pikeun ménta sertipikat anu leres pikeun nami domain, Distribusi standar TLS SNI / Blog Grup WEBO / Sudo Null IT News) salila sasalaman TLS. Panyerang ngan ukur kedah ngirim SNI ditungtungan ku garis miring ("") sareng karakter nol (" ").

Panaliti ti Qualys mendakan bug dina fungsi string_printing(tls_in.sni), anu ngalibatkeun kabur "". Hasilna, backslash ditulis unescaped kana file header spool print. file ieu lajeng dibaca kalawan hak husus ku spool_read_header () fungsi, nu ngabalukarkeun tumpukan mudal.

Perlu dicatet yén ayeuna, pamekar Exim parantos nyiptakeun PoC tina kerentanan kalayan palaksanaan paréntah dina server anu rentan jauh, tapi éta henteu acan sayogi umum. Alatan betah eksploitasi bug, éta ngan hitungan waktu, sarta rada pondok.

Panaliti anu langkung rinci ku Qualys tiasa dipendakan di dieu.

Ngagunakeun SNI dina TLS

Jumlah server publik berpotensi rentan

Numutkeun statistik ti panyadia hosting badag E-Soft Nyarita ti 1 Séptémber, dina server anu disewa, versi 4.92 dianggo dina langkung ti 70% host.

Vérsi
Jumlah Palayan
persen

4.92.1
6471
1.28%

4.92
376436
74.22%

4.91
58179
11.47%

4.9
5732
1.13%

4.89
10700
2.11%

4.87
14177
2.80%

4.84
9937
1.96%

Vérsi séjén
25568
5.04%

E-Soft Inc statistik parusahaan

Upami anjeun nganggo mesin pencari shodan, teras kaluar tina 5,250,000 dina database server:

• kira-kira 3,500,000 ngagunakeun Exim 4.92 (kira-kira 1,380,000 ngagunakeun SSL / TLS);
• leuwih 74,000 ngagunakeun 4.92.1 (kira-kira 25,000 ngagunakeun SSL / TLS).

Ku kituna, umum dipikawanoh tur diaksés Exim berpotensi rentan server jumlahna ngeunaan 1.5 juta.

Pilarian pikeun server Exim di Shodan

panyalindungan

• Pilihan pangbasajanna, tapi henteu disarankeun, nyaéta henteu nganggo TLS, anu bakal nyababkeun pesen email diteruskeun sacara jelas.
• Pikeun ngahindarkeun eksploitasi kerentanan, éta bakal langkung saé pikeun ngapdet kana versi Exim Internet Mailer 4.92.2.
• Lamun teu mungkin pikeun ngamutahirkeun atawa masang versi patched, Anjeun tiasa nyetel ACL dina konfigurasi Exim pikeun pilihan. acl_smtp_mail kalayan aturan di handap ieu:

  # to be prepended to your mail acl (the ACL referenced
  # by the acl_smtp_mail main config option)
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_sni}}}}
  deny    condition = ${if eq{}{${substr{-1}{1}{$tls_in_peerdn}}}}

sumber: www.habr.com