Remote Code Execution: Sicherheitslücke in Qmail
Die Lücke im Qmail-Mailserver war seit 2005 bekannt, galt aber als praktisch kaum ausnutzbar.
Mitarbeiter der IT-Sicherheitsfirma Qualys haben gezeigt, wie man eine Sicherheitslücke im Mailserver Qmail über das Netzwerk ausnutzen kann. Bekannt war der dahinterliegende Bug zwar schon seit 2005, es sah aber zunächst so aus, als ob der Fehler in Standardkonfigurationen nicht ausnutzbar sei.
Qmail ist ein Mailserver, der von Dan Bernstein in den 90ern entwickelt wurde. Qmail entstand damals als Reaktion auf sehr häufige Sicherheitsprobleme in Sendmail. Bernstein wollte damit zeigen, wie man sicheren Code entwickelt. 1997 versprach Bernstein 500 Dollar für denjenigen, der eine Sicherheitslücke in Qmail findet, das Angebot gilt laut der Webseite bis heute.
64-Bit-Lücke galt wegen Speicherlimit als nicht ausnutzbar
2005 fand Georgi Guninski mehrere Probleme in Qmail, wenn man es auf 64-Bit-Plattformen nutzt, darunter mehrere Integer Overflows im SMTP-Daemon. Diese Lücken haben die Kennungen CVE-2005-1513, CVE-2005-1514 und CVE-2005-1515. Doch um die Bugs auszunutzen, musste der Qmail-Prozess große Mengen Speicher verwenden. In gängigen Konfigurationen erhält ein einzelner Qmail-SMTP-Prozess nur wenige Megabyte Speicher. Bernstein schrieb daher auch, dass er dies nicht als gültige Sicherheitslücke akzeptiert.
Wie die Qualys-Forscher nun herausfanden, lässt sich die Lücke aber auch in einem weiteren Daemon, der lokal läuft und nicht für Verbindungen von außen zuständig ist, ausnutzen. Während der SMTP-Prozess in allen gängigen Distributionen mit einem Speicherlimit ausgeführt wird, wird dieser lokale Prozess in allen von Qualys untersuchten Konfigurationen nicht limitiert.
Exploit soll bald veröffentlicht werden
Damit lässt sich die Lücke angreifen, die Qualys-Forscher haben nach eigenen Angaben einen Exploit, der auf Standard-Debian-Installationen funktioniert und den sie in Kürze veröffentlichen werden. In einem Statement gegenüber Qualys erläuterte Bernstein, dass er alle Services mit einem Speicherlimit betreibt und dasselbe für andere Installationen empfiehlt.
Neben diesem Angriff haben die Qualys-Forscher zwei weitere Sicherheitslücken (CVE-2020-3811, CVE-2020-3812) in einem Tool namens qmail-verify entdeckt, das aber nicht Teil des originalen Qmails ist. Es wird aber in vielen Distributionen und Forks von Qmail mitgeliefert.
Ein neues Release von Qmail gab es schon seit 20 Jahren nicht mehr und wird es wohl auch nicht geben. Ein Projekt mit dem Namen Notqmail, was wiederum ein Fork eines ebenfalls eingestellten Projekts namens Netqmail ist, entwickelt aber Qmail aktiv weiter und hat auch die gefundenen Lücken geschlossen.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
