Ein Fehler in smrsh (Sendmail Restricted Shell) ermöglicht es Angreifern, die Einschränkungen, die durch smrsh auferlegt werden sollen, zu umgehen.

Betroffene Systeme

• Systeme, die Sendmail 8.11.0 bis 8.11.6 einsetzen.
• Systeme, die Sendmail 8.12.0 bis 8.12.6 einsetzen.

Einfallstor
Schreibzugriff auf die Datei .forward im Home-Verzeichnis.

Auswirkung
Benutzer mit Schreibzugriff auf die Datei .forward können beliebige Kommandos ausführen.

Typ der Verwundbarkeit
design flaw

Gefahrenpotential
mittel (Das Problem betrifft ausschließlich Mail-Server, bei denen Benutzer Schreibzugriff auf ihr Home-Verzeichnis haben, aber keinen Shell-Zugang.)
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Da smrsh in zwei Punkten Zeichenketten anders interpretiert als gängige Bourne-Shell-Implementierungen, kann ein lokaler Benutzer, der die Möglichkeit hat, .forward zu ändern, dort Programmaufrufe einfügen, die von smrsh nicht abgefangen werden. Er kann so Shell-Zugang unter seiner User-ID erlangen.

Aufgrund von Angriffsvoraussetzung und Auswirkung betrifft das Problem ausschließlich Mail-Server, die Schreibzugriff auf das Home-Verzeichnis der Benutzer zulassen, .forward-Dateien mit smrsh-Einschränkung aktiviert haben und den Benutzern nicht bereits Shell-Zugang einräumen.

smrsh ist schon vom Design aus mit Sicherheitsproblemen behaftet. Es ist kaum möglich, einer Zeichenkette anzusehen, ob sie versteckte Shell-Kommandos enthält, u.a. weil die Eigenschaften der Shells variieren.

Gegenmaßnahmen

• Verzicht auf den Einsatz von .forward-Dateien unter den beschriebenen Voraussetzungen.
• Es gibt einen Patch, der jedoch nicht das oben erwähnte prinzipielle Problem löst.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/