Сотні тисяч поштових серверів у світі піддаються уразливості, що дозволяє зловмисникам запускати на них довільний код до авторизації. Уразливість зачіпає всі версії , агента пересилання повідомлень Exim .
Злом без авторизації
Тайванський експерт з безпеки Ме Чан (Meh Chang) виявив небезпечну уразливість в агента пересилання повідомлень Exim, який широко використовується на серверах електронної пошти. Уразливість дозволяє дистанційне виконання довільного коду на сервері ще до того, як він запросить у користувача авторизацію.
Уразливість CVE-2018-6789 була виявлена ще в лютому 2018 р Функція декодування рядки base64 містить помилку переповнення буфера, завдяки чому можна змусити сервер запустити будь-який код.
5 лютого Чан повідомив розробників Exim про існування проблеми. Ті моментально визнали її наявність і вже 10 лютого випустили нову версію Exim 4.90.1, яка усуває проблему. Через майже місяць Чан опублікував велике технічний опис самої уразливості і того, як її можна експлуатувати.
Експлуатувати уразливість непросто
Реально працює експлойта для описаної уразливості поки не створено. Розробники Exim впевнені, що реалізувати атаку буде досить складно. Вони, втім, вказують також, що ніяких обхідних шляхів для виправлення проблеми не існує – тільки оновлення Exim до останньої версії.
На сьогоднішній день більше 56% поштових серверів в світі використовують Exim. Оновлена версія активно поширюється з збірками Linux, використовуваними в дата-центрах, але це не означає, що установка нової версії на активні поштові адреси не займе багато часу.
“Оновлення поштових серверів до безпечної версії Exim може зайняти тижні і місяці, – вважає , експерт з інформаційної безпеки компанії SEC Consult Services. – Можливо, експлуатувати цю уразливість і непросто, проте появи робочого експлойта виключати не варто. А враховуючи, що під загрозою – взагалі все поштові сервери, використовують Exim, версії якого старше 4.90.1, “поверхню атаки” вийде величезною. Власникам поштових серверів варто оновити відповідне ПО якомога швидше “.
Джерело: Cnews
