Специалисты Trend Micro Zero Day Initiative (ZDI) предупредили сразу о нескольких уязвимостях в агенте пересылки сообщений Exim. Самая серьезная из этих проблем затрагивает все версии Exim и позволяет добиться удаленного выполнения кода без аутентификации.
Ситуация усугубляется тем, что Exim используют сотни тысяч или даже миллионы почтовых серверов по всему миру. Так, согласно данным Security Space, Exim установлен более чем на 56% почтовых серверов (342 337), обнаруженных в интернете. По информации Shodan, в мире и вовсе насчитывается более 3,5 млн серверов с Exim на борту.
Уязвимость CVE-2023-42115 (9,8 балла по шкале CVSS) была обнаружена исследователем, который предпочел остаться неизвестным. Проблема связана с out-of-bounds записью в компоненте Exim, который отвечает за аутентификацию, и может использоваться для удаленного выполнения кода или команд на уязвимых серверах.
При этом бюллетень безопасности гласит, что эксперты ZDI уведомили разработчиков Exim об этой уязвимости еще в июне 2022 года, а также повторно отправили информацию о проблеме по их запросу мае 2023 года. Однако разработчики так и не предоставили никакой информации о работе над патчем. В итоге в ZDI приняли решение обнародовать информацию об этой проблеме.
Помимо этого 0-day бага в ZDI раскрыли информацию сразу о пяти других уязвимостях в Exim:
Лишь после публикации этого длинного списка багов, один из разработчиков Exim сообщил в рассылке OSS-Sec, что исправления для двух наиболее опасных уязвимостей (а также для третьей, менее серьезной) уже доступны в «защищенном репозитории и готовы к применению сопровождающими дистрибутива».
Более подробной информации о патчах, а также о том, как именно администраторы их получат, не поступало. Также неизвестно, существуют ли какие-то иные средства защиты от перечисленных проблем для тех, кто не сможет установить исправления сразу.
При этом в упомянутой рассылке разработчики Exim подтверждают, что получили первый приватный отчет от ZDI еще в июне 2022 года, после чего запросили дополнительные подробности, «но не получили ответов, с которыми можно было бы работать».
Следующий контакт между ZDI и разработчиками состоялся только в мае 2023 года, и после этого началась работа над патчами для трех из шести уязвимостей. «Остальные проблемы являются спорными или не содержат информации, необходимой для их устранения», — пишут разработчики.
В свою очередь в ZDI отвечают, что сроки раскрытия информации и так были превышены на многие месяцы.
Пока в ZDI советуют администраторам ограничить удаленный доступ из интернета, чтобы предотвратить вероятные попытки взлома.
В итоге и специалисты ZDI и разработчики Exim подверглись критике со стороны ИБ-специалистов. К примеру, эксперт, известный под ником Solar Designer, пишет:
Ситуация усугубляется тем, что Exim используют сотни тысяч или даже миллионы почтовых серверов по всему миру. Так, согласно данным Security Space, Exim установлен более чем на 56% почтовых серверов (342 337), обнаруженных в интернете. По информации Shodan, в мире и вовсе насчитывается более 3,5 млн серверов с Exim на борту.
Уязвимость CVE-2023-42115 (9,8 балла по шкале CVSS) была обнаружена исследователем, который предпочел остаться неизвестным. Проблема связана с out-of-bounds записью в компоненте Exim, который отвечает за аутентификацию, и может использоваться для удаленного выполнения кода или команд на уязвимых серверах.
При этом бюллетень безопасности гласит, что эксперты ZDI уведомили разработчиков Exim об этой уязвимости еще в июне 2022 года, а также повторно отправили информацию о проблеме по их запросу мае 2023 года. Однако разработчики так и не предоставили никакой информации о работе над патчем. В итоге в ZDI приняли решение обнародовать информацию об этой проблеме.
Помимо этого 0-day бага в ZDI раскрыли информацию сразу о пяти других уязвимостях в Exim:
Лишь после публикации этого длинного списка багов, один из разработчиков Exim сообщил в рассылке OSS-Sec, что исправления для двух наиболее опасных уязвимостей (а также для третьей, менее серьезной) уже доступны в «защищенном репозитории и готовы к применению сопровождающими дистрибутива».
Более подробной информации о патчах, а также о том, как именно администраторы их получат, не поступало. Также неизвестно, существуют ли какие-то иные средства защиты от перечисленных проблем для тех, кто не сможет установить исправления сразу.
При этом в упомянутой рассылке разработчики Exim подтверждают, что получили первый приватный отчет от ZDI еще в июне 2022 года, после чего запросили дополнительные подробности, «но не получили ответов, с которыми можно было бы работать».
Следующий контакт между ZDI и разработчиками состоялся только в мае 2023 года, и после этого началась работа над патчами для трех из шести уязвимостей. «Остальные проблемы являются спорными или не содержат информации, необходимой для их устранения», — пишут разработчики.
В свою очередь в ZDI отвечают, что сроки раскрытия информации и так были превышены на многие месяцы.
Пока в ZDI советуют администраторам ограничить удаленный доступ из интернета, чтобы предотвратить вероятные попытки взлома.
В итоге и специалисты ZDI и разработчики Exim подверглись критике со стороны ИБ-специалистов. К примеру, эксперт, известный под ником Solar Designer, пишет:
