Remote Code Execution: Sicherheitslücke in Qmail

Die Lücke im Qmail-Mailserver war seit 2005 bekannt, galt aber als praktisch kaum ausnutzbar.

Artikel veröffentlicht am ,
Gefahr für den Mailserver: Wer Qmail noch nutzt, muss den Speicherbedarf der Prozesse einschränken, andernfalls drohen Angriffe.
Gefahr für den Mailserver: Wer Qmail noch nutzt, muss den Speicherbedarf der Prozesse einschränken, andernfalls drohen Angriffe. (Bild: ermell/Wikimedia Commons/CC-BY-SA 4.0)

Mitarbeiter der IT-Sicherheitsfirma Qualys haben gezeigt, wie man eine Sicherheitslücke im Mailserver Qmail über das Netzwerk ausnutzen kann. Bekannt war der dahinterliegende Bug zwar schon seit 2005, es sah aber zunächst so aus, als ob der Fehler in Standardkonfigurationen nicht ausnutzbar sei.

Stellenmarkt
  1. SAP C / 4HANA Anwendungsbetreuer / -berater (m/w/d)
    MULTIVAC Sepp Haggenmüller SE & Co. KG, Wolfertschwenden
  2. Entwickler Embedded Software (m/w/d) für Medizingeräte
    LRE Medical GmbH, München
Detailsuche

Qmail ist ein Mailserver, der von Dan Bernstein in den 90ern entwickelt wurde. Qmail entstand damals als Reaktion auf sehr häufige Sicherheitsprobleme in Sendmail. Bernstein wollte damit zeigen, wie man sicheren Code entwickelt. 1997 versprach Bernstein 500 Dollar für denjenigen, der eine Sicherheitslücke in Qmail findet, das Angebot gilt laut der Webseite bis heute.

64-Bit-Lücke galt wegen Speicherlimit als nicht ausnutzbar

2005 fand Georgi Guninski mehrere Probleme in Qmail, wenn man es auf 64-Bit-Plattformen nutzt, darunter mehrere Integer Overflows im SMTP-Daemon. Diese Lücken haben die Kennungen CVE-2005-1513, CVE-2005-1514 und CVE-2005-1515. Doch um die Bugs auszunutzen, musste der Qmail-Prozess große Mengen Speicher verwenden. In gängigen Konfigurationen erhält ein einzelner Qmail-SMTP-Prozess nur wenige Megabyte Speicher. Bernstein schrieb daher auch, dass er dies nicht als gültige Sicherheitslücke akzeptiert.

Wie die Qualys-Forscher nun herausfanden, lässt sich die Lücke aber auch in einem weiteren Daemon, der lokal läuft und nicht für Verbindungen von außen zuständig ist, ausnutzen. Während der SMTP-Prozess in allen gängigen Distributionen mit einem Speicherlimit ausgeführt wird, wird dieser lokale Prozess in allen von Qualys untersuchten Konfigurationen nicht limitiert.

Exploit soll bald veröffentlicht werden

Golem Akademie
  1. Einführung in die Programmierung mit Rust
    21.-24. September 2021, online
  2. Elastic Stack Fundamentals - Elasticsearch, Logstash, Kibana, Beats
    26. - 28. Oktober 2021, online
  3. Terraform mit AWS
    14./15. September 2021, online
Weitere IT-Trainings

Damit lässt sich die Lücke angreifen, die Qualys-Forscher haben nach eigenen Angaben einen Exploit, der auf Standard-Debian-Installationen funktioniert und den sie in Kürze veröffentlichen werden. In einem Statement gegenüber Qualys erläuterte Bernstein, dass er alle Services mit einem Speicherlimit betreibt und dasselbe für andere Installationen empfiehlt.

Neben diesem Angriff haben die Qualys-Forscher zwei weitere Sicherheitslücken (CVE-2020-3811, CVE-2020-3812) in einem Tool namens qmail-verify entdeckt, das aber nicht Teil des originalen Qmails ist. Es wird aber in vielen Distributionen und Forks von Qmail mitgeliefert.

Ein neues Release von Qmail gab es schon seit 20 Jahren nicht mehr und wird es wohl auch nicht geben. Ein Projekt mit dem Namen Notqmail, was wiederum ein Fork eines ebenfalls eingestellten Projekts namens Netqmail ist, entwickelt aber Qmail aktiv weiter und hat auch die gefundenen Lücken geschlossen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Victorian Big Battery
Tesla-Speicher brannte vier Tage lang

Viel Aufwand war nötig, um das brennende Akku-Modul zu löschen.

Victorian Big Battery: Tesla-Speicher brannte vier Tage lang
Artikel
  1. Windows 365: Der mietbare Cloud-PC mit Windows kann bestellt werden
    Windows 365
    Der mietbare Cloud-PC mit Windows kann bestellt werden

    Microsoft startet mit Windows 365 und gibt Preise für den Cloud-PC bekannt. Die VMs sollen wie physische Windows-PCs funktionieren.

  2. Android: Googles Tensor-SoC ist eine halbe Mogelpackung
    Android
    Googles Tensor-SoC ist eine halbe Mogelpackung

    Für seinen ersten eigenen Smartphone-Chip liefert Google ausschließlich Erwartbares und dämpft damit sämtliche Hoffnungen an besseren Support und gute Linux-Treiber.
    Ein IMHO von Sebastian Grüner

  3. Apple-Tastatur: Magic Keyboard mit Touch ID jetzt ohne iMac erhältlich
    Apple-Tastatur
    Magic Keyboard mit Touch ID jetzt ohne iMac erhältlich

    Apple verkauft das Magic Keyboard mit Fingerabdruckscanner Touch ID nun auch einzeln - mit und ohne Ziffernblock.


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Speicherwoche bei Saturn Samsung • C27RG54FQU, 27 Zoll, curved 203,55€ • Bosch Professional Werkzeuge und Messtechnik • Samsung Galaxy Vorbesteller-Aktion • Speicherwoche bei Media Markt • 15% auf Xiaomi-Technik • Hisense UHD-Fernseher • Saturn: 1 Produkt zahlen, 2 erhalten [Werbung]
    •  /