{"id":38040,"date":"2019-10-31T22:21:20","date_gmt":"2019-10-31T19:21:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros\/"},"modified":"2021-02-01T11:37:46","modified_gmt":"2021-02-01T09:37:46","slug":"propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/propatchil-exim-propatch-eshhe-raz-svezhee-remote-command-execution-v-exim-4-92-v-odin-zapros","title":{"rendered":"Patcha Exim \u2014 patcha igen. Nyligen uppt\u00e4ckte Remote Command Execution i Exim 4.92 i ett enda anrop","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Patcha<\/p>\n

Nyligen, i b\u00f6rjan av sommaren, fanns det en massiv uppmaning att uppgradera Exim till version 4.92 p\u00e5 grund av s\u00e5rbarheten CVE-2019-10149 (Uppdatera exim till 4.92 omg\u00e5ende \u2013 aktiv infektion p\u00e5g\u00e5r \/ Habr<\/a><\/noindex>). Och nyligen uppt\u00e4cktes det att den skadliga Sustes utnyttjade den h\u00e4r s\u00e5rbarheten.<\/p>\n

Nu kan alla som hastigt uppgrupperat sig \u00e5terigen \"gl\u00e4djas\": Den 21 juli 2019 uppt\u00e4ckte forskaren Zerons en kritisk s\u00e5rbarhet i Exim Mail Transfer agent (MTA) vid anv\u00e4ndning av TLS<\/strong> f\u00f6r versioner fr\u00e5n 4.80 till 4.92.1<\/strong> inklusive, vilket m\u00f6jligg\u00f6r fj\u00e4rrkontroll att k\u00f6ra kod med privilegierade r\u00e4ttigheter<\/strong> (CVE-2019-15846<\/a><\/noindex>).<\/p>\n

<\/a><\/noindex><\/p>\n

S\u00e5rbarhet<\/h3>\n

S\u00e5rbarheten f\u00f6rekommer vid anv\u00e4ndning av bibliotek som GnuTLS och OpenSSL vid installation av en s\u00e4ker TLS-anslutning.<\/p>\n

Enligt utvecklaren Heiko Schlittermann anv\u00e4nder Exims konfigurationsfil som standard inte TLS, men m\u00e5nga distributioner skapar n\u00f6dv\u00e4ndiga certifikat och inkluderar en s\u00e4ker anslutning vid installation. Dessutom installerar nyare versioner av Exim alternativet tls_advertise_hosts=*<\/em> och genererar n\u00f6dv\u00e4ndiga certifikat.<\/p>\n

beror p\u00e5 konfigurationen. De flesta distributionerna aktiverar det som standard, men Exim beh\u00f6ver ett certifikat+nyckel f\u00f6r att fungera som en TLS-server. F\u00f6rmodligen skapar distributionerna ett certifikat under installationen. Nyare Exim-versioner har alternativet tls_advertise_hosts som som standard \u00e4r inst\u00e4llt p\u00e5 «*» och skapar ett sj\u00e4lvsignerat certifikat om inget tillhandah\u00e5lls.<\/p><\/blockquote>\n

S\u00e5rbarheten i sig ligger i felaktig hantering av SNI (Server Name Indication, en teknik som introducerades 2003 i RFC 3546 f\u00f6r att l\u00e5ta klienten beg\u00e4ra ett korrekt certifikat f\u00f6r dom\u00e4nnamnet, Spridning av standarden TLS SNI \/ Blogg av WEBO Group \/ Habr<\/a><\/noindex>) under TLS-handshake. En angripare beh\u00f6ver bara skicka SNI som slutar med en bakslutning («») och en null-symbol (» «).<\/p>\n

Forskare fr\u00e5n Qualys har uppt\u00e4ckt en bugg i funktionen string_printing(tls_in.sni), som beror p\u00e5 felaktig undvikande av «». Som ett resultat skrivs bakslutningen ut i okodad form i headerfilen f\u00f6r utskrifter. Denna fil l\u00e4ses sedan av funktionen spool_read_header() med privilegierade r\u00e4ttigheter, vilket leder till en heap overflow.<\/p>\n

Det \u00e4r v\u00e4rt att notera att Exims utvecklare f\u00f6r n\u00e4rvarande har skapat en PoC f\u00f6r s\u00e5rbarheten f\u00f6r att k\u00f6ra kommandon p\u00e5 en extern s\u00e5rbar server, men den \u00e4r f\u00f6r n\u00e4rvarande inte offentligt tillg\u00e4nglig. P\u00e5 grund av enkelheten i att utnyttja buggen \u00e4r det bara en tidsfr\u00e5ga, och ganska kort tid dessutom.<\/strong><\/p>\n

F\u00f6r mer detaljerad forskning fr\u00e5n Qualys kan du l\u00e4sa h\u00e4r<\/a><\/noindex>.<\/p>\n

\"Patcha<\/p>\n

Anv\u00e4ndning av SNI i TLS<\/em><\/p>\n

Antal potentiellt s\u00e5rbara offentliga servrar<\/h3>\n

Enligt statistik fr\u00e5n en stor hostingleverant\u00f6r E-Soft Inc<\/strong> den 1 september anv\u00e4nds version 4.92 p\u00e5 mer \u00e4n 70 % av de hyrestj\u00e4nster som finns.<\/p>\n

Version
\nAntal servrar
\nProcent<\/p>\n

4.92.1
\n6471
\n1.28%<\/p>\n

4.92<\/strong>
\n376436<\/strong>
\n74.22%<\/strong><\/p>\n

4.91
\n58179
\n11.47%<\/p>\n

4.9
\n5732
\n1.13%<\/p>\n

4.89
\n10700
\n2.11%<\/p>\n

4.87
\n14177
\n2.80%<\/p>\n

4.84
\n9937
\n1.96%<\/p>\n

Andra versioner
\n25568
\n5.04%<\/p>\n

Statistik fr\u00e5n E-Soft Inc<\/em><\/p>\n

Om man s\u00f6ker i s\u00f6kmotorn Shodan<\/strong><\/a><\/noindex>, s\u00e5 av 5 250 000 i databasen av servrar:<\/p>\n