Kritisk sårbarhet i Exim som möjliggör kodexekvering på server med root-rättigheter

I e-postservern Exim upptäcktes kritisk sårbarhet (CVE-2019-10149), vilket kan leda till fjärrkodexekvering på servern med root-rättigheter vid behandling av speciellt formaterade förfrågningar. Utnyttjande av problemet har noterats i versioner från 4.87 till och med 4.91 eller i byggnader med alternativet EXPERIMENTAL_EVENT.

I standardkonfigurationen kan attacken utföras utan ytterligare komplikationer av en lokal användare, eftersom ACL "verify = recipient" används, vilket utför ytterligare kontroller för externadresser. En fjärrattack kan genomföras vid förändring av inställningar, till exempel när den fungerar som en sekundär MX för en annan domän, genom att ta bort ACL "verify = recipient" eller specifika ändringar i local_part_suffix). En fjärrattack är också möjlig om angriparen kan hålla anslutningen till servern öppen under 7 dagar (till exempel genom att skicka en byte per minut för att kringgå timeout-avbrott). Det utesluts inte att det finns enklare vektorer för attack för att utnyttja problemet på distans.

Sårbarheten orsakas av felaktig kontroll av mottagaradressen i funktionen deliver_message(), definierad i filen /src/deliver.c. Genom att manipulera formatet på adressen kan angriparen få sina uppgifter att sättas in i argumenten för kommandot som anropas via funktionen execv() med root-rättigheter. För att utnyttja detta krävs inga komplicerade tekniker som används vid buffertöverskridningar eller minneskorruption, det räcker med att bara sätta in tecken.

Problemet är kopplat till användningen av konstruktionen för att omvandla adresser:

deliver_localpart = expand_string(
string_sprintf("${local_part:%s}", new->address));
deliver_domain = expand_string(
string_sprintf("${domain:%s}", new->address));

Funktionen expand_string() är en överkomplicerad maskin, bland annat känner den igen kommandot "${run{kommando argument}" som leder till att en extern bearbetare startas. Därför är det tillräckligt för en lokal användare under SMTP-sessionen att skicka ett kommando av typen 'RCPT TO "username+${run{…}}@localhost"', där localhost är en av värdarna i listan local_domains, och username är namnet på en befintlig lokal användare.

Om servern fungerar som en e-postrelay räcker det att skicka kommandot 'RCPT TO "${run{…}}@relaydomain.com"', där relaydomain.com är en av värdarna som listas i inställningarna för relay_to_domains. Eftersom privilegiefri läge (deliver_drop_privilege = false) som standard inte tillämpas i exim, kommer kommandon som skickas via "${run{…}}" att utföras med root-behörigheter.

Det är värt att notera att sårbarheten var har åtgärdats i version 4.92 som släpptes i februari utan att uppmärksamma att åtgärden kan leda till säkerhetsproblem. Det finns ingen anledning att tro att det skett en avsiktlig täckning av sårbarheten av Exims utvecklare, eftersom problemet åtgärdades under åtgärden för en krasch som uppstår vid överföring av felaktiga adresser, och sårbarheten upptäcktes av Qualys under en revision av ändringar i Exim.

Åtgärden för tidigare versioner, som fortfarande används i distributioner, finns hittills endast i form av en patch. Korrigerande versioner för tidigare grenar som åtgärdar problemet planeras den 11 juni. Paketuppdateringar har förberetts för Debian, Ubuntu, openSUSE. Arch Linux och Fedora levererar version 4.92, där problemet inte yttrar sig. RHEL och CentOS är inte påverkade, eftersom Exim inte ingår i deras officiella paketrepository.

Källa: opennet.ru