RUS-CERT-633 – Archivierte Meldung

Meldung Nr: RUS-CERT-633

[Generic/Exim] Schwachstelle in der Verarbeitung bestimmter Adressen
(2001-12-20 17:29:44+00)

Quelle: https://CERT.Uni-Stuttgart.DE/archive/bugtraq/2001/12/msg00204.html

Exim 3.34 behebt eine Schwachstelle in der Bearbeitung lokaler Adressen, die mit einem "|"-Symbol (pipe) beginnen. Angreifer können über diese Schwachstelle beliebige Befehle mit den Privilegien des Mail-Zustellungsprozesses ausführen.

Betroffene Systeme

Systeme, die Exim 3.33 und frühere Versionen verwenden.

Einfallstor
RFC-822-Nachrichten, z.B. über SMTP (TCP-Port 25) oder UUCP

Auswirkung
Ausführung von Befehlen, die im local part einer E-Mail-Adresse stehen (dem Teil vor dem "@").

Typ der Verwundbarkeit
remote code injection

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Eine Schwachstelle in der Verarbeitung lokaler Adressen führt bei Exim 3.33 und früheren Versionen unter bestimmten Voraussetzungen dazu, daß ein Angreifer beliebige Befehle mit den Rechten des Mail-Zustellungsprozesses ausführen kann. Damit die Schwachstelle akut wird, müssen folgende Bedingungen erfüllt sein:

Der Mail-Server muß Nachrichten lokal zustellen. Ein reines Mailrelay ist von diesem Problem nicht betroffen.
Die Zustellung von Nachrichten, die mit einem "|" beginnen, muß mit einem Pipe-Transport erfolgen (dies kann z.B. ein Fallback-Smartuser-Direktor bewirken).

In diesem Fall wird bei der Zustellung von Mail an eine Adresse, die mit dem Zeichen "|" beginnt, nicht das in der Konfiguration angegebene Programm aufgerufen, sondern der Text, der im local part auf das Zeichen "|" folgt, als Befehl von Exim ausgeführt. Abhängig von der Konfiguration des Mailsystems kann ein Angreifer so Benutzerkonten und möglicherweise auch System-Accounts wie mail bzw. exim kompromittieren. Möglicherweise ist (mittelbar) auch das Erlangen von root-Rechten möglich.

Gegenmaßnahmen

Update auf Exim 3.34 oder neuer.
Einspielen des Pathces aus dem Advsiory.

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

https://cert.uni-stuttgart.de/ticker/article.php?mid=633