Remote Code Execution: Sicherheitslücke in Qmail

Die Lücke im Qmail-Mailserver war seit 2005 bekannt, galt aber als praktisch kaum ausnutzbar.

Artikel veröffentlicht am ,
Gefahr für den Mailserver: Wer Qmail noch nutzt, muss den Speicherbedarf der Prozesse einschränken, andernfalls drohen Angriffe.
Gefahr für den Mailserver: Wer Qmail noch nutzt, muss den Speicherbedarf der Prozesse einschränken, andernfalls drohen Angriffe. (Bild: ermell/Wikimedia Commons/CC-BY-SA 4.0)

Mitarbeiter der IT-Sicherheitsfirma Qualys haben gezeigt, wie man eine Sicherheitslücke im Mailserver Qmail über das Netzwerk ausnutzen kann. Bekannt war der dahinterliegende Bug zwar schon seit 2005, es sah aber zunächst so aus, als ob der Fehler in Standardkonfigurationen nicht ausnutzbar sei.

Stellenmarkt
  1. Fachinformatiker(in) Systemintegration/IT System Engineer (m/w/d) für IT-Service, Hosting, ... (m/w/d)
    CAPCAD SYSTEMS AG, verschiedene Standorte
  2. Senior Project Testmanager Automotive (m/f/d)
    CETITEC GmbH, Pforzheim
Detailsuche

Qmail ist ein Mailserver, der von Dan Bernstein in den 90ern entwickelt wurde. Qmail entstand damals als Reaktion auf sehr häufige Sicherheitsprobleme in Sendmail. Bernstein wollte damit zeigen, wie man sicheren Code entwickelt. 1997 versprach Bernstein 500 Dollar für denjenigen, der eine Sicherheitslücke in Qmail findet, das Angebot gilt laut der Webseite bis heute.

64-Bit-Lücke galt wegen Speicherlimit als nicht ausnutzbar

2005 fand Georgi Guninski mehrere Probleme in Qmail, wenn man es auf 64-Bit-Plattformen nutzt, darunter mehrere Integer Overflows im SMTP-Daemon. Diese Lücken haben die Kennungen CVE-2005-1513, CVE-2005-1514 und CVE-2005-1515. Doch um die Bugs auszunutzen, musste der Qmail-Prozess große Mengen Speicher verwenden. In gängigen Konfigurationen erhält ein einzelner Qmail-SMTP-Prozess nur wenige Megabyte Speicher. Bernstein schrieb daher auch, dass er dies nicht als gültige Sicherheitslücke akzeptiert.

Wie die Qualys-Forscher nun herausfanden, lässt sich die Lücke aber auch in einem weiteren Daemon, der lokal läuft und nicht für Verbindungen von außen zuständig ist, ausnutzen. Während der SMTP-Prozess in allen gängigen Distributionen mit einem Speicherlimit ausgeführt wird, wird dieser lokale Prozess in allen von Qualys untersuchten Konfigurationen nicht limitiert.

Exploit soll bald veröffentlicht werden

Golem Karrierewelt
  1. Blender Grundkurs: virtueller Drei-Tage-Workshop
    06.-08.09.2022, Virtuell
  2. AZ-104 Microsoft Azure Administrator: virtueller Vier-Tage-Workshop
    19.-22.09.2022, virtuell
Weitere IT-Trainings

Damit lässt sich die Lücke angreifen, die Qualys-Forscher haben nach eigenen Angaben einen Exploit, der auf Standard-Debian-Installationen funktioniert und den sie in Kürze veröffentlichen werden. In einem Statement gegenüber Qualys erläuterte Bernstein, dass er alle Services mit einem Speicherlimit betreibt und dasselbe für andere Installationen empfiehlt.

Neben diesem Angriff haben die Qualys-Forscher zwei weitere Sicherheitslücken (CVE-2020-3811, CVE-2020-3812) in einem Tool namens qmail-verify entdeckt, das aber nicht Teil des originalen Qmails ist. Es wird aber in vielen Distributionen und Forks von Qmail mitgeliefert.

Ein neues Release von Qmail gab es schon seit 20 Jahren nicht mehr und wird es wohl auch nicht geben. Ein Projekt mit dem Namen Notqmail, was wiederum ein Fork eines ebenfalls eingestellten Projekts namens Netqmail ist, entwickelt aber Qmail aktiv weiter und hat auch die gefundenen Lücken geschlossen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Halbleiterfertigung
Keine modernen Belichtungsmaschinen mehr für China

Maschinen für EUV-Belichtung darf ASML bereits nicht mehr nach China exportieren, auch der Zugang zu älteren DUV-Anlagen soll gekappt werden.

Halbleiterfertigung: Keine modernen Belichtungsmaschinen mehr für China
Artikel
  1. Fake-Polizei-Anrufe: Bundesnetzagentur meldet starken Anstieg von Beschwerden
    Fake-Polizei-Anrufe
    Bundesnetzagentur meldet starken Anstieg von Beschwerden

    Seit März wachsen die Beschwerden stark an, weil Betrüger automatische Ansage von Polizei, BKA, Interpol oder Europol versenden. Dabei täuschen sie echte Telefonnummern vor.

  2. Games with Gold: Die Xbox-360-Neuauflagen sind alle
    Games with Gold
    Die Xbox-360-Neuauflagen sind alle

    Ab Oktober 2022 ist Schluss mit weiteren Xbox-360-Spielen in Spieleabos von Microsoft. Grund ist schlicht eine natürliche Grenze.

  3. Kryptowinter: Auch Bitcoin-Minern droht die Zahlungsunfähigkeit
    Kryptowinter
    Auch Bitcoin-Minern droht die Zahlungsunfähigkeit

    Nicht nur Bitcoin-Verleiher gehen in der Krise pleite. Auch professionelle Krypto-Mining-Unternehmen kämpfen um ihre Liquidität.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Red Friday: Mega-Rabatt-Aktion bei Media Markt • PS5 bestellbar • EVGA RTX 3090 günstig wie nie: 1.649€ • MindStar (MSI RTX 3060 429€, MSI 31,5“ WQHD 165Hz 369€) • Samsung QLED 85" günstig wie nie: 1.732,72€ • Alternate (Tower & CPU-Kühler) • Der beste 2.000€-Gaming-PC [Werbung]
    •  /