Detaljer om en kritisk sårbarhet i Exim har avslöjats

Publicerad korrigerande utgåva Exim 4.92.2 med åtgärd av kritisk sårbarheten (CVE-2019-15846), som i standardkonfiguration kan leda till fjärrutförande av kod av en angripare med root-rättigheter. Problemet uppstår endast när TLS-stöd är aktiverat och utnyttjas genom överföring av ett specialdesignat klientcertifikat eller ändrat värde i SNI. Sårbarhet upptäcktes från företaget Qualys.

Problemet är närvarande i hanteraren för att undvika specialtecken i strängen (string_interpret_escape() från string.c) och orsakas av att tecknet ‘\’ i slutet av strängen tolkas före nolltecknet (‘\0’) och undviker det. Vid undanröjning hanteras sekvensen ‘\’ och efterföljande nollkod för slutet av strängen som ett tecken och pekaren flyttas till data utanför strängen, som behandlas som en förlängning av den.

Koden som anropar string_interpret_escape() allokerar en buffer baserat på den faktiska storleken, och den angivna pekaren hamnar i ett område utanför bufferten. Följaktligen uppstår en situation där man försöker läsa data från ett område utanför buffertens gränser när den inmatade strängen bearbetas, och ett försök att skriva den avkodade strängen kan leda till skrivning utanför bufferten.

I standardkonfiguration kan sårbarheten utnyttjas genom att överföra specialdesignade data i SNI vid etablering av en säker anslutning till servern. Problemet kan också utnyttjas genom att ändra värdena för peerdn i konfigurationer som är inställda för autentisering med klientcertifikat, eller vid import av certifikat. Attacken via SNI och peerdn är möjlig från versionen Exim 4.80, där funktionen string_unprinting() tillämpades för att avkoda innehållet i peerdn och SNI.

För attacken via SNI har en prototyp av ett exploit utvecklats som fungerar på i386 och amd64-arkitekturer i Linux-system med Glibc. Exploiten använder dataöverlappning i heapområdet, vilket leder till överskrivning av minnet där loggfilens namn lagras. Filnamnet ersätts med ‘/../../../../../../../../../../../../etc/passwd’. Därefter överskrivs en variabel med adressen till avsändaren, som först sparas i loggen, vilket gör det möjligt att lägga till en ny användare i systemet.

Paketuppdateringar för att åtgärda sårbarheten har släppts av distributörerna Debian, Ubuntu, Fedora, SUSE/openSUSE och FreeBSD. RHEL och CentOS problemet påverkade, eftersom Exim inte ingår i deras standardpaketrepository (i EPEL uppdatering redan har formulerats, men ännu inte placerat i det offentliga repositoryt). I Exim-koden åtgärdas problemet med en enradig patchen, som inaktiverar effekt av bakåtsnedstreck om det finns i slutet av raden.

Som en tillfällig lösning för att blockera sårbarheten kan man inaktivera TLS-stödet eller lägga till i
ACL-sektionen «acl_smtp_mail»:

deny condition = ${if eq{\\}{${substr{-1}{1}{$tls_in_sni}}}}
deny condition = ${if eq{\\}{${substr{-1}{1}{$tls_in_peerdn}}}}

Källa: opennet.ru