Haavoittuvuus Exim-sähköpostiohjelmistossa

Exim-sähköpostiohjelmistosta on löydetty vakava haavoittuvuus. Paikallisesti tai verkon yli toimiva hyökkääjä voi suorittaa ohjelmakoodia pääkäyttäjän oikeuksin kohdejärjestelmässä. Tunnettua julkista hyväksikäyttömenetelmää ei ole tiedossa, mutta alustava haavoittuvuuden hyödyntämisen havainnollistava esimerkkikoodi on olemassa.

Haavoittuvuus koskee kaikkia Exim-palvelinohjelmistoja jotka tukevat TLS-salauksen käyttöä sähköpostinvälityksessä. Haavoittuvuus ei riipu ympäristössä käytettävästä TLS-kirjastosta, vaan sekä GnuTLS ja OpenSSL pohjaiset toteutukset ovat haavoittuvia.

Haavoittuvuuden hyväksikäyttö onnistuu lähettämällä palvelimelle TLS-kättelyiden aikana tietyllä tavalla muotoiltu SNI merkkijono.

Haavoittuvuuden korjaava versio on saatavilla suoraan valmistajalta:

Tarballs: https://ftp.exim.org/pub/exim/exim4/
Git: https://github.com/Exim/exim.git
- tag exim-4.92.2
- branch exim-4.92.2+fixes

Varmista oman ympäristösi ohjelmistojakelusta koska korjaava versio on saatavilla, mikäli et voi päivittää ohjelmistoa suoraan valmistajan lähdekoodista.

Haavoittuvuuden kohde

Exim 4.92.1 sekä kaikki sitä vanhemmat versiot.

Mistä on kysymys?

TLS -salauksen poistaminen käytöstä, tämä EI OLE SUOSITELTAVAA.

Valmistaja on esittänyt seuraavanlaisen rajoitusmenetelmän hyväksikäytön estämiseksi:

Add - as part of the mail ACL (the ACL referenced by the main config option "acl_smtp_mail"):

deny condition = ${if eq{\\}{${substr{-1}{1}{$tls_in_sni}}}}
deny condition = ${if eq{\\}{${substr{-1}{1}{$tls_in_peerdn}}}}

Mitä voin tehdä?

Ennakkotiedote:
https://www.openwall.com/lists/oss-security/2019/09/04/1

Valmistajan tiedote:
https://www.exim.org/static/doc/security/CVE-2019-15846.txt

CVE-2019-15846:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-15846

cPanel Security Notice:
https://documentation.cpanel.net/display/CKB/CVE-2019-15846+Exim

Debian Security Tracker:
https://security-tracker.debian.org/tracker/CVE-2019-15846

Palvelimet ja palvelinsovellukset

Palvelinten ja palvelinohjelmistojen haavoittuvuudet koskevat esimerkiksi sähköisten asiointipalvelujen tarjoajia. Tyypillisiä kohteita ovat palvelinten käyttöjärjestelmät ja www- tai sähköpostipalvelinohjelmistot kuten esimerkiksi SunOS, Linux, Apache, IIS tai Sendmail.

Etäkäyttö

Etäkäyttöisesti tehtävän hyökkäyksen voi tehdä tietoverkkoyhteyden tai vastaavan kautta ilman että pääsee itse kohteena olevan järjestelmän luokse.

Ilman käyttäjän toimia

Ilman käyttäjän toimia tapahtuva hyökkäys kohdistuu suoraan haavoittuvuuteen ilman että järjestelmän käyttäjältä vaaditaan mitään toimia hyökkäyksen onnistumiseksi. Käyttäjän ei esimerkiksi tarvitse selailla www-sivuja tai käynnistää ohjelmaa tietokoneessa, vaan hyökkäys onnistuu ilman käyttäjän apua.

Paikallisesti

Paikallisesti tapahtuvan hyökkäyksen voi tehdä vain pääsemällä hyökkäyksen kohteena olevan laitteen luokse ja käyttämällä sitä paikallisesti. Paikallista hyökkäystä ei voi tehdä verkkoyhteyden kautta.

Ilman kirjautumista

Hyökkäys ei vaadi kohteena olevaan järjestelmään kirjautumista. Vastakohtana ovat sellaiset hyökkäykset, jotka vaativat käyttäjätunnuksen ja salasanan käyttöä ja esimerkiksi komentojen suorittamista järjestelmään kirjautuneena.

Komentojen mielivaltainen suorittaminen

Komentojen mielivaltaisen suorittamisen mahdollistavaa haavoittuvuutta on pidettävä vakavana, sillä se tarkoittaa sitä, että hyväksikäyttäjä voi käyttää kohteena olevaa järjestelmää aivan kuin sen tavallinen käyttäjäkin. Se voi johtaa myös siihen, että järjestelmään murtautunut hyökkääjä voi ladata verkon kautta järjestelmään omia ohjelmiaan suoritettavaksi.

Suojauksen ohittaminen

Suojauksen ohittamisella tarkoitetaan sitä, että haavoittuvuutta hyväksikäyttämällä ohitetaan järjestelmän käytön rajoittamiseksi tehty suojaus esimerkiksi liikennöimällä palomuurin ohi suojattuun verkkoon.

Käyttövaltuuksien laajentaminen

Käyttövaltuuksien laajentaminen mahdollistaa järjestelmän käyttämisen esimerkiksi pääkäyttäjänä, tavallista käyttäjää laajemmin valtuuksin.

Haavoittuvuuden havainnollistava esimerkkikoodi

Proof of concept.

Korjaava ohjelmistopäivitys

Ohjelmisto- tai laitevalmistaja julkaisee tavallisesti pian uuden version tai osittaisen päivityksen ohjelmistoon tai käyttöjärjestelmään sen jälkeen kun haavoittuvuus on tullut julki. Päivitys voi olla saatavilla samalla kun haavoittuvuuskin julkaistaan, mutta usein sitä joudutaan odottelemaan jonkin aikaa.