CVE-2019-10149
Exim Mail Transfer Agent (MTA) Improper Input Validation
Beschreibung
CVE-2019-10149 ist eine kritische OS Command Injection-Schwachstelle im Exim Mail Transfer Agent (MTA), die die Versionen 4.87 bis 4.91 betrifft. Durch unsachgemäße Validierung von Empfängeradressen in der Funktion deliver_message() in /src/deliver.c kann ein nicht authentifizierter Angreifer aus der Ferne beliebige Betriebssystembefehle auf dem Mailserver ausführen. Mit einem CVSS 3.1-Score von 9.8 (CRITICAL) und einem EPSS-Score von 93,9 % (99,9. Perzentile) stellt CVE-2019-10149 eine der gefährlichsten Schwachstellen für Mailserver-Infrastrukturen dar. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| exim | exim | >= 4.87, <= 4.91 |
| canonical | ubuntu linux | 18.04; 18.10 |
| debian | debian linux | 9.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://lists.opensuse.org/opensuse-security-announce/2019-06/msg00020.html(Mailing List, Third Party Advisory)
- http://packetstormsecurity.com/files/153218/Exim-4.9.1-Remote-Command-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/153312/Exim-4.91-Local-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/154198/Exim-4.91-Local-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2019/Jun/16(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2019/06/05/2(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2019/06/05/3(Mailing List, Patch, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2019/06/05/4(Exploit, Mailing List)
- http://www.openwall.com/lists/oss-security/2019/06/06/1(Exploit, Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2019/07/25/6(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2019/07/25/7(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2019/07/26/4(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/05/04/7(Mailing List, Third Party Advisory)
- http://www.securityfocus.com/bid/108679(Broken Link, Third Party Advisory, VDB Entry)
- https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-10149(Issue Tracking, Third Party Advisory)
- https://seclists.org/bugtraq/2019/Jun/5(Mailing List, Third Party Advisory)
- https://security.gentoo.org/glsa/201906-01(Third Party Advisory)
- https://usn.ubuntu.com/4010-1/(Third Party Advisory)
- https://www.debian.org/security/2019/dsa-4456(Third Party Advisory)
- https://www.exim.org/static/doc/security/CVE-2019-10149.txt(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-10149(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
OS Command Injection tritt auf, wenn Software einen Betriebssystembefehl unter Verwendung von extern beeinflussten Eingaben konstruiert, ohne Spezialelemente korrekt zu neutralisieren. Im Fall von CVE-2019-10149 werden Empfängeradressen in Exim nicht ausreichend validiert, sodass ein Angreifer Shell-Metazeichen einschleusen kann, die als Betriebssystembefehle auf dem Mailserver ausgeführt werden.
Weitere Informationen: CWE-78 — Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl
Auswirkungsanalyse
CVE-2019-10149 hat einen CVSS 3.1-Score von 9.8 (CRITICAL) und stellt eine äußerst schwerwiegende Bedrohung dar. Die Schwachstelle ist über das Netzwerk ausnutzbar (Attack Vector: NETWORK), erfordert keine besonderen Bedingungen (Attack Complexity: LOW), keine Authentifizierung (Privileges Required: NONE) und keine Benutzerinteraktion (User Interaction: NONE). Eine erfolgreiche Ausnutzung gefährdet die Vertraulichkeit (HIGH), Integrität (HIGH) und Verfügbarkeit (HIGH) vollständig, da ein Angreifer beliebige Betriebssystembefehle mit den Privilegien des Exim-Prozesses ausführen kann. Da Mailserver typischerweise öffentlich erreichbar sind und Exim einer der meistverbreiteten MTAs ist, bietet diese Schwachstelle eine enorme Angriffsfläche. Der EPSS-Score von 93,9 % bestätigt die nahezu sichere aktive Ausnutzung.
Exploit-Reifegrad
CVE-2019-10149 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt eingestuft. Öffentlicher Exploit-Code ist über mehrere Quellen verfügbar, darunter Packet Storm Security (Remote Command Execution) und Packet Storm Security (Local Privilege Escalation). Zusätzlich wurden auf oss-security und weiteren Mailinglisten detaillierte Exploit-Beschreibungen veröffentlicht. Der EPSS-Score von 93,9 % (99,9. Perzentile) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit und platziert CVE-2019-10149 in den obersten 0,1 % aller bekannten Schwachstellen.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Aktualisieren Sie Exim umgehend auf Version 4.92 oder höher.
- Betroffene Exim-Versionen 4.87 bis einschließlich 4.91 müssen aktualisiert werden. Für Debian-basierte Systeme steht DSA-4456 bereit, für Ubuntu USN-4010-1. Prüfen Sie die installierte Version mit
exim --versionund aktualisieren Sie über Ihren Paketmanager. - Falls ein sofortiges Update nicht möglich ist, implementieren Sie Zugriffsbeschränkungen auf den SMTP-Dienst, um die Angriffsfläche zu reduzieren. Konfigurieren Sie Firewall-Regeln, um den Zugriff auf Port 25 auf vertrauenswürdige Quell-IPs zu beschränken.
- Überwachen Sie Exim-Logs auf ungewöhnliche Empfängeradressen mit Shell-Metazeichen (Semikolons, Backticks, Pipes, Dollar-Zeichen). Prüfen Sie Systeme auf Kompromittierungsindikatoren wie unautorisierte Prozesse oder veränderte Dateien.
- Vermeiden Sie als langfristige Maßnahme die Verwendung von Shell-Aufrufen für die E-Mail-Zustellung und implementieren Sie strikte Eingabevalidierung für alle von außen kontrollierten Daten. Betreiben Sie Exim mit minimalen Privilegien und in einer isolierten Umgebung.
Technische Details
CVE-2019-10149 basiert auf einer OS Command Injection (CWE-78) in der Funktion deliver_message() in /src/deliver.c des Exim Mail Transfer Agents. Die Schwachstelle entsteht durch unzureichende Validierung von Empfängeradressen, die an Shell-Befehle übergeben werden. Ein Angreifer kann speziell konstruierte E-Mail-Adressen senden, die Shell-Metazeichen enthalten, welche vom System als Betriebssystembefehle interpretiert und ausgeführt werden. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt die maximale Ausnutzbarkeit: Die Schwachstelle ist ohne jegliche Voraussetzungen über SMTP aus dem Internet erreichbar und ermöglicht die vollständige Kompromittierung des Mailservers.
Häufig gestellte Fragen
Wird CVE-2019-10149 aktiv ausgenutzt?
Ja. CVE-2019-10149 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung in der Praxis bestätigt. Mehrere öffentliche Exploits sind verfügbar und der EPSS-Score von 93,9 % (99,9. Perzentile) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2019-10149 betroffen?
CVE-2019-10149 betrifft den Exim Mail Transfer Agent in den Versionen 4.87 bis einschließlich 4.91. Zusätzlich sind Distributionen betroffen, die diese Exim-Versionen ausliefern, darunter Debian Linux 9.0, Ubuntu Linux 18.04 und 18.10.
Wie behebe ich CVE-2019-10149?
Aktualisieren Sie Exim auf Version 4.92 oder höher. Für Debian nutzen Sie DSA-4456, für Ubuntu USN-4010-1. Falls ein sofortiges Update nicht möglich ist, beschränken Sie den SMTP-Zugriff auf vertrauenswürdige Quell-IPs und überwachen Sie Logs auf verdächtige Empfängeradressen.
Wie schwerwiegend ist CVE-2019-10149?
CVE-2019-10149 hat einen CVSS 3.1-Score von 9.8 (CRITICAL) — den höchstmöglichen Schweregrad. Die Schwachstelle ermöglicht unauthentifizierte Remote Command Execution auf öffentlich erreichbaren Mailservern und ist damit eine der gefährlichsten bekannten MTA-Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.