CVE-2018-6789
Exim Buffer Overflow Vulnerability
Beschreibung
CVE-2018-6789 ist eine KRITISCHE Buffer-Overflow-Schwachstelle im SMTP-Listener von Exim mit einem CVSS-3.1-Score von 9.8. Die Schwachstelle existiert in der base64d-Funktion, die Base64-Dekodierungsoperationen unsachgemäß verarbeitet. Durch das Senden einer speziell konstruierten Nachricht kann ein Angreifer einen Ein-Byte-Buffer-Overflow (Off-by-One) auslösen, der für Remote-Codeausführung genutzt werden kann. Exim-Versionen vor 4.90.1 sind betroffen. Diese CVE ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Der EPSS-Score von 0.86140 (99,394. Perzentile) belegt signifikante Ausnutzungsaktivität, und die Schwachstelle wurde mit Ransomware-Kampagnen in Verbindung gebracht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| exim | exim | < 4.90.1 |
| debian | debian linux | 7.0; 8.0; 9.0 |
| canonical | ubuntu linux | 14.04; 16.04; 17.10 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://openwall.com/lists/oss-security/2018/02/10/2(Mailing List, Third Party Advisory)
- http://packetstormsecurity.com/files/162959/Exim-base64d-Buffer-Overflow.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.openwall.com/lists/oss-security/2018/02/07/2(Mailing List, Third Party Advisory)
- http://www.securityfocus.com/bid/103049(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1040461(Broken Link, Third Party Advisory, VDB Entry)
- https://devco.re/blog/2018/03/06/exim-off-by-one-RCE-exploiting-CVE-2018-6789-en/(Exploit, Third Party Advisory)
- https://exim.org/static/doc/security/CVE-2018-6789.txt(Vendor Advisory)
- https://git.exim.org/exim.git/commit/cf3cd306062a08969c41a1cdd32c6855f1abecf1(Patch)
- https://lists.debian.org/debian-lts-announce/2018/02/msg00009.html(Mailing List, Third Party Advisory)
- https://usn.ubuntu.com/3565-1/(Third Party Advisory)
- https://www.debian.org/security/2018/dsa-4110(Mailing List, Third Party Advisory)
- https://www.exploit-db.com/exploits/44571/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/45671/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-6789(US Government Resource)
Schwachstellentyp
CWE-120: Pufferkopie ohne Überprüfung der Eingabegröße (Klassischer Buffer Overflow)
CVE-2018-6789 wird unter CWE-120 klassifiziert — Pufferkopie ohne Überprüfung der Eingabegröße. Diese Schwachstellenklasse tritt auf, wenn ein Programm Daten aus einem Quellpuffer in einen Zielpuffer kopiert, ohne vorher zu überprüfen, ob die Daten in den zugewiesenen Speicher des Ziels passen. Klassische Buffer Overflows ermöglichen es Angreifern, angrenzenden Speicher zu überschreiben und potenziell Datenstrukturen zu korrumpieren, den Kontrollfluss zu modifizieren oder ausführbaren Code einzuschleusen.
Im Kontext von Exim enthielt die base64d-Funktion einen Off-by-One-Fehler in der Berechnung der Puffergröße für die Base64-Dekodierung. Wenn Base64-kodierte Eingaben mit einer bestimmten Länge verarbeitet werden, kann die dekodierte Ausgabe den zugewiesenen Puffer um ein Byte überschreiten. Obwohl ein Einzelbyte-Overflow begrenzt erscheinen mag, können geschickte Angreifer Heap-Manipulationstechniken nutzen, um dies in vollständige Remote-Codeausführung umzuwandeln. Die Schwachstelle ist besonders gefährlich, da sie im SMTP-Listener existiert, der Daten von jedem verbindenden Mail-Client ohne Authentifizierung verarbeitet.
Mehr erfahren: CWE-120 — Pufferkopie ohne Überprüfung der Eingabegröße
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung ermöglicht vollständigen Zugriff auf alle dem Exim-Mailserver-Prozess zugänglichen Daten, einschließlich E-Mails in Transit und Speicherung, Mailserver-Konfigurationen, TLS-Zertifikate, Authentifizierungs-Zugangsdaten und potenziell Zugang zu anderen Diensten auf demselben Host.
Integrität (HIGH): Angreifer können E-Mail-Inhalte im Transit modifizieren, Mail-Routing ändern, persistente Backdoors auf dem Mailserver installieren, Systemkonfigurationen modifizieren und den kompromittierten Server als Pivot-Punkt für weitere Netzwerkangriffe nutzen.
Verfügbarkeit (HIGH): Vollständige Unterbrechung des Mail-Dienstes ist möglich, einschließlich Absturz des Exim-Prozesses, Korruption von Mail-Queues, Verschlüsselung von Serverdaten oder Missbrauch der Server-Ressourcen für bösartige Zwecke wie Spam-Relay oder Botnet-Teilnahme.
Mit einem EPSS-Score von 0.86140 (99,394. Perzentile) gehört diese Schwachstelle zu den am meisten ausgenutzten Mailserver-Schwachstellen. Exim ist einer der am weitesten verbreiteten Mail Transfer Agents weltweit, was die potenzielle Auswirkung dieser Schwachstelle enorm macht.
Exploit-Reifegrad
Exploit-Status: CVE-2018-6789 wird aktiv in der Praxis ausgenutzt und ist im CISA KEV-Katalog gelistet. Mehrere öffentliche Exploits existieren, einschließlich Einträgen in Exploit-DB und detaillierten technischen Analysen. Der Off-by-One-Overflow in base64d erfordert sorgfältige Heap-Manipulation, wurde aber erfolgreich weaponisiert.
Ransomware-Bezug: Diese Schwachstelle wurde bestätigt mit Ransomware-Kampagnen in Verbindung gebracht. Mailserver sind hochwertige Ziele für Bedrohungsakteure aufgrund der sensiblen Daten, die sie verarbeiten, und ihrer zentralen Rolle in der organisatorischen Kommunikation.
Angriffsfläche: Exim-Mailserver sind typischerweise internet-exponiert auf Port 25/587/465, was sie direkt für Remote-Angreifer erreichbar macht. Die Schwachstelle kann während normaler SMTP-Kommunikation ausgelöst werden und erfordert lediglich die Fähigkeit, Daten an den SMTP-Listener zu senden. Keine Authentifizierung ist erforderlich.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Organisationen, die noch Exim-Versionen vor 4.90.1 betreiben, sollten dies als Notfall behandeln.
Behebung
- Exim umgehend aktualisieren. Aktualisieren Sie auf Exim 4.90.1 oder neuer. Konsultieren Sie den offiziellen Exim-Sicherheitshinweis unter CVE-2018-6789.txt und den Patch-Commit für Details.
- Alle Exim-Installationen identifizieren. Nutzen Sie Asset-Discovery, um jede Exim-Instanz in Ihrer Infrastruktur zu finden, einschließlich Backup-MX-Server, Mail-Relays und Entwicklungssysteme. Alle Versionen vor 4.90.1 sind betroffen.
- Mailserver-Logs auf verdächtige Aktivitäten überwachen. Überprüfen Sie SMTP-Verbindungsprotokolle auf ungewöhnliche base64-kodierte Payloads, unerwartete Abstürze oder Neustarts und Anzeichen unbefugten Zugriffs.
- Netzwerkebene-Schutzmaßnahmen implementieren. Setzen Sie Intrusion-Detection-Signaturen für bekannte CVE-2018-6789-Exploit-Muster ein. Erwägen Sie Rate-Limiting für SMTP-Verbindungen.
- Auf vorherige Kompromittierung prüfen. Falls das Patching verzögert wurde, führen Sie eine forensische Untersuchung des Mailservers durch. Prüfen Sie auf unautorisierte Prozesse, unerwartete Netzwerkverbindungen und modifizierte Binärdateien.
- Mailserver-Konfiguration härten. Deaktivieren Sie unnötige Exim-Features, erzwingen Sie TLS, implementieren Sie SMTP-Authentifizierungsanforderungen und stellen Sie sicher, dass Exim mit minimalen Systemprivilegien läuft.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle ist ein Ein-Byte-Heap-Buffer-Overflow (Off-by-One) in Exims base64d-Funktion, die für die Dekodierung von base64-kodierten Daten in SMTP-Kommunikation verantwortlich ist. Die Funktion berechnet die Ausgabepuffergröße als 3*(len/4)+1, aber wenn die Eingabelänge kein Vielfaches von 4 ist, kann die tatsächliche dekodierte Ausgabe diese Allokation um ein Byte überschreiten.
Ausnutzungstechnik: Obwohl ein Off-by-One-Overflow minimal erscheinen mag, kann der Angreifer das Heap-Layout durch sorgfältig konstruierte SMTP-Interaktionen vor dem Auslösen des Overflows manipulieren. Durch Kontrolle, welche Daten neben dem Overflow-Puffer liegen, kann der Angreifer kritische Heap-Strukturen oder Funktionszeiger überschreiben. Diese Heap-Manipulationstechnik wandelt den Ein-Byte-Overflow in beliebige Codeausführung um.
Betroffene Produkte: Exim (< 4.90.1), Debian Linux (7.0, 8.0, 9.0), Ubuntu Linux (14.04, 16.04, 17.10)
CVSS-3.1-Bewertung (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): Netzwerkzugänglich über SMTP, niedrige Komplexität, keine Privilegien oder Benutzerinteraktion erforderlich. Unchanged-Scope bedeutet, dass die Auswirkungen auf den Mailserver beschränkt sind.
Häufig gestellte Fragen
Wird CVE-2018-6789 aktiv ausgenutzt?
Ja, CVE-2018-6789 wird aktiv ausgenutzt und ist im CISA KEV-Katalog gelistet. Öffentliche Exploits sind verfügbar und die Schwachstelle wurde mit Ransomware-Kampagnen gegen Mailserver in Verbindung gebracht. Der EPSS-Score von 0.86140 (99,394. Perzentile) bestätigt hohe Ausnutzungsaktivität. Exim ist einer der am weitesten verbreiteten MTAs, was es zu einem bevorzugten Ziel macht.
Welche Produkte sind von CVE-2018-6789 betroffen?
Exim-Versionen vor 4.90.1 sind betroffen. Dies umfasst Exim-Installationen auf Debian Linux (7.0, 8.0, 9.0) und Ubuntu Linux (14.04, 16.04, 17.10), die mit verwundbaren Exim-Paketen ausgeliefert wurden. Jedes System, das ein ungepatchtes Exim als Mail Transfer Agent betreibt, ist gefährdet.
Wie behebe ich CVE-2018-6789?
Aktualisieren Sie Exim auf Version 4.90.1 oder neuer. Für Linux-Distributionen wenden Sie die vom Paketmanager bereitgestellten Sicherheitsupdates an. Falls das Patching verzögert wurde, führen Sie eine forensische Überprüfung des Mailservers durch. Implementieren Sie SMTP-Schutzmaßnahmen und überwachen Sie auf Kompromittierungsindikatoren.
Wie schwerwiegend ist CVE-2018-6789?
CVE-2018-6789 ist mit einem CVSS-Score von 9.8 als KRITISCH eingestuft. Sie ermöglicht unauthentifizierte Remote-Codeausführung gegen internet-exponierte Mailserver durch einen Buffer Overflow im SMTP-Listener. Mit bestätigten Ransomware-Verbindungen und einem EPSS-Score von 0.86140 (99,394. Perzentile) ist dies eine der gefährlichsten Mailserver-Schwachstellen. Die CISA-Behebungsfrist war der 2022-05-03.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.