新的严重安全漏洞使 Exim 邮件服务器面临远程攻击

Exim 邮件传输代理中已披露多个安全漏洞，如果成功利用这些漏洞，可能会导致信息泄露和远程代码执行。

早在 2022 年 6 月就匿名报告的缺陷列表如下：

CVE-2023-42114（CVSS 评分：3.7）- Exim NTLM 挑战越界读取信息泄露漏洞
CVE-2023-42115（CVSS 评分：9.8）- Exim AUTH 越界写入远程代码执行漏洞
CVE-2023-42116（CVSS 评分：8.1） - Exim SMTP 挑战基于堆栈的缓冲区溢出远程代码执行漏洞
CVE-2023-42117（CVSS 评分：8.1） - Exim 特殊元素远程代码执行漏洞的不当中和
CVE-2023-42118（CVSS 评分：7.5）- Exim libspf2 整数下溢远程代码执行漏洞
CVE-2023-42119（CVSS 评分：3.1）- Exim dnsdb 越界读取信息泄露漏洞
其中最严重的漏洞是 CVE-2023-42115，它允许未经身份验证的远程攻击者在受影响的 Exim 安装上执行任意代码。

“该特定缺陷存在于 SMTP 服务中，该服务默认侦听 TCP 端口 25，”零日计划在本周发布的警报中表示。

“该问题是由于缺乏对用户提供的数据进行适当验证而导致的，这可能会导致写入超出缓冲区末尾。攻击者可以利用此漏洞在服务帐户的上下文中执行代码。”

Exim 维护者在开源安全邮件列表 oss-security 上共享的消息中表示，CVE-2023-42114、CVE-2023-42115 和 CVE-2023-42116 的修复程序“在受保护的存储库中可用，并准备好由发行版维护者应用。”

“剩下的问题是有争议的，或者缺少我们需要解决的信息，”并补充说，它向 ZDI 询问了有关这些问题的更多细节，并且直到 2023 年 5 月“才得到我们能够处理的答案”。Exim 团队进一步表示他们正在等待其他三个缺点的详细细节。

然而，ZDI 反驳了有关“处理草率”和“两个团队在 10 个月内都没有对对方进行 ping ”的说法，并表示已多次与开发商联系。

“在我们的披露时间表超出了几个月后，我们通知维护人员我们打算公开披露这些错误，当时我们被告知，‘你做你做的事，’”它说。

“如果这些错误得到了适当的解决，我们将更新我们的建议，并提供安全建议、代码签入或其他解决问题的公共文档的链接。”

在没有补丁的情况下，ZDI 建议限制与应用程序的交互作为唯一“显着”的缓解策略。

这并不是第一次在广泛使用的邮件传输代理中发现安全漏洞。2021 年 5 月，Qualys 披露了一组 21 个漏洞，统称为21Nails，这些漏洞使未经身份验证的攻击者能够实现完整的远程代码执行并获得 root 权限。

此前，在 2020 年 5 月，美国政府报告称，隶属于俄罗斯国家资助组织 Sandworm 的黑客一直在利用 Exim 的一个关键漏洞（CVE-2019-10149，CVSS 评分：9.8）渗透敏感网络。

加州大学圣地亚哥分校的研究人员进行了一项新研究，该研究发现了一种称为基于转发的欺骗的新技术，该技术利用电子邮件转发中的弱点来发送冒充合法实体的消息，从而损害完整性。

研究发现：“用于检查电子邮件真实性的原始协议隐含地假设每个组织都运行自己的邮件基础设施，并且其他域未使用特定的 IP 地址。”

“但如今，许多组织将其电子邮件基础设施外包给 Gmail 和 Outlook。结果，数千个域已将代表其发送电子邮件的权利委托给同一个第三方。虽然这些第三方提供商验证其用户只发送电子邮件电子邮件代表他们运营的域，可以通过电子邮件转发绕过此保护。”