• IT-Karriere:
  • Services:

Buffer Overflow: Exim-Sicherheitslücke beim Verarbeiten von TLS-Namen

Im Mailserver Exim wurde eine Sicherheitslücke gefunden, die Angreifern das Ausführen von Code ermöglicht. Ein Update steht bereit.

Artikel veröffentlicht am ,
Erneut gibt es Sicherheitsprobleme mit dem Exim-Mailserver.
Erneut gibt es Sicherheitsprobleme mit dem Exim-Mailserver. (Bild: Petar Miloević, Wikimedia Commons/CC-BY-SA 3.0)

Ein Fehler bei der Verarbeitung von Hostnamen kann im Mailserver Exim zu einem Heap Overflow führen. Laut einer Analyse der Sicherheitsfirma Qualys könnte ein Angreifer dies dafür nutzen, Code mit Root-Rechten auszuführen. Systemadministratoren, die Exim nutzen, sollten schnellstmöglich ihre Server aktualisieren.

Stellenmarkt
  1. VerbaVoice GmbH, München
  2. Spitta GmbH, Balingen

Das Problem tritt bei der Verarbeitung von Hostnamen in TLS auf. Bei verschlüsselten TLS-Verbindungen kann ein Client über die Funktion Server Name Indication (SNI) angeben, mit welchem Hostnamen er kommunizieren möchte. Mehrere Fehler in internen Exim-Funktionen zur Verarbeitung von Hostnamen führen dazu, dass hier ein Heap Buffer Overflow auftreten kann. Ausgelöst wird der Bug, wenn man einen Backslash via SNI schickt, der dann ein dahinterstehendes Null-Byte escaped.

Exploit soll nicht veröffentlicht werden

Qualys schreibt auch, dass es seinen Mitarbeitern gelungen sei, einen Exploit für diese Lücke zu entwickeln. Es sei aber nicht geplant, diesen Exploit zu veröffentlichen. Aber natürlich ist es möglich, dass andere Personen ebenfalls einen Exploit entwickeln und diesen öffentlich verfügbar machen.

Ob der Exploit auch funktioniert, wenn auf dem System Schutzmechanismen wie die Speicherrandomisierung ASLR aktiviert sind, geht aus dem Bericht von Qualys nicht hervor. Üblicherweise erschweren solche Mechanismen das Ausnutzen von derartigen Memory-Corruption-Lücken deutlich.

Laut der Ankündigung von Exim betrifft der Fehler die Version 4.92.1 und alle älteren Exim-Versionen. In Version 4.92.2 ist der Fehler behoben. In der CVE-Datenbank wird die Lücke unter der ID CVE-2019-15846 geführt.

Zudem sind in der Ankündigung von Exim auch alternative Möglichkeiten angegeben, wie man die Lücke vermeiden kann. So kann man etwa im Mailserver TLS abschalten, was aber kaum zu empfehlen ist, oder mittels einer Access Control List entsprechende Verbindungen filtern.

Für Debian und Ubuntu stehen bereits Updates zur Verfügung. Diese tragen andere Versionsnummern, da die Distributionen üblicherweise ältere Versionen für längere Zeit pflegen und Sicherheitsfixes zurückportieren.

Zweite Remote-Code-Execution-Lücke innerhalb kurzer Zeit

In Exim wurde bereits im Juni ein kritischer Fehler gefunden, der in vielen Situationen eine Codeausführung über das Netz erlaubte.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 14,99€
  2. (-10%) 35,99€
  3. 9,49€

Folgen Sie uns
       


Brett Butterfield von Adobe zeigt KI-Bildersuche per Sprache (englisch)

Der Befehl: "Mehr Kaffee!" zeigt tatsächlich mehr Kaffee.

Brett Butterfield von Adobe zeigt KI-Bildersuche per Sprache (englisch) Video aufrufen
Support-Ende von Windows 7: Für wen Linux eine Alternative zu Windows 10 ist
Support-Ende von Windows 7
Für wen Linux eine Alternative zu Windows 10 ist

Windows 7 erreicht sein Lebensende (End of Life) und wird von Microsoft künftig nicht mehr mit Updates versorgt. Lohnt sich ein Umstieg auf Linux statt auf Windows 10? Wir finden: in den meisten Fällen schon.
Von Martin Loschwitz

  1. Lutris EA verbannt offenbar Linux-Gamer aus Battlefield 5
  2. Linux-Rechner System 76 will eigene Laptops bauen
  3. Grafiktreiber Nvidia will weiter einheitliches Speicher-API für Linux

IT-Gehälter: Je nach Branche bis zu 1.000 Euro mehr
IT-Gehälter
Je nach Branche bis zu 1.000 Euro mehr

Wechselt ein ITler in eine andere Branche, sind auf dem gleichen Posten bis zu 1.000 Euro pro Monat mehr drin. Welche Industrien die höchsten und welche die niedrigsten Gehälter zahlen: Wir haben die Antworten auf diese Fragen - auch darauf, wie sich die Einkommen 2020 entwickeln werden.
Von Peter Ilg

  1. Softwareentwickler Der Fachkräftemangel zeigt sich nicht an den Gehältern

Radeon RX 5600 XT im Test: AMDs Schneller als erwartet-Grafikkarte
Radeon RX 5600 XT im Test
AMDs "Schneller als erwartet"-Grafikkarte

Für 300 Euro ist die Radeon RX 5600 XT interessant - trotz Konkurrenz durch Nvidia und AMD selbst. Wie sehr die Navi-Grafikkarte empfehlenswert ist, hängt davon ab, ob Nutzer sich einen Flash-Vorgang zutrauen.
Ein Test von Marc Sauter

  1. Grafikkarte AMD bringt RX 5600 XT im Januar
  2. Grafikkarte Radeon RX 5600 XT hat 2.304 Shader und 6 GByte Speicher
  3. Radeon RX 5500 XT (8GB) im Test Selbst mehr Speicher hilft AMD nicht

    •  /