RCE-проблема угрожает половине почтовых серверов в интернете

Рекомендуем почитать:

Xakep #242. Фаззинг

• Содержание выпуска
• Подписка на «Хакер»

ИБ-специалисты компании Qualys обнаружили опасную проблему CVE-2019-10149 в почтовом агенте Exim (версии 4.87 — 4.91), позволяющую злоумышленникам запускать команды от имени root на удаленных почтовых серверах.

Исследователи уверяют, что уязвимость представляет опасность для половины всех почтовых серверов в интернете. Дело в том, что по данным на июнь 2019 года, 57% всех почтовых серверов (507 389) действительно используют Exim, причем по другим данным количество установок Exim намного больше — порядка 5,4 млн.

Проблему описывают как удаленное исполнение команд, что по стемени опасности ничуть не уступает удаленному выполнению произвольного кода. Баг в Exim позволяет локальному или удаленному атакующему выполнить на сервере произвольную команду с правами root.

Если атакующий действует локально, для моментального осуществления атаки ему хватит даже аккаунта с самыми низкими привилегиями. С удаленными атаками все сложнее:

«Чтобы удаленно использовать данную уязвимость на конфигурации по умолчанию, злоумышленник должен поддерживать соединение с уязвимым сервером открытым в течение 7 дней (передавая один байт каждые несколько минут), — пишут исследователи. — Но в силу чрезвычайной сложности кода Exim мы не можем гарантировать, что данные метод эксплуатации проблемы уникален, — могут существовать и другие, более быстрые методы».

Интересно, что уязвимость уже была устранена ​​с релизом Exim 4.92 10 февраля 2019 года, однако тогда разработчики Exim даже не подозревали, что исправляют серьезную уязвимость в своем коде. Баг исправили по чистой случайности, а уже после эксперты Qualys обнаружили проблему во время аудита старых версий Exim. Теперь исследователи предупреждают пользователей Exim о необходимости срочно обновиться до версии 4.92. К сожалению, согласно упомянутой выше статистике, в настоящее время лишь 4,34% всех серверов Exim используют последнюю версию агента (4.92).

Эксперты Qualys отмечают, что эксплуатация найденной ими уязвимости крайне проста и прогнозируют, что злоумышленники разработают эксплоита уже в ближайшие дни.

Источник