Sicherheitslücke: Exim-Sicherheitslücke gefährlicher als gedacht

Eine Sicherheitslücke im Exim-Mailserver lässt sich auch übers Netz zur Codeausführung ausnutzen, der Angriff dauert aber in der Standardkonfiguration mehrere Tage. Lokal ist er trivial und emöglicht es Nutzern, Root-Rechte zu erlangen.

Artikel veröffentlicht am ,
Spezielle Empfängeradressen können im Exim-Mailserver zur Codeausführung genutzt werden.
Spezielle Empfängeradressen können im Exim-Mailserver zur Codeausführung genutzt werden. (Bild: Pexels/Pexels License)

Eine Sicherheitslücke im Mailserver Exim ist deutlich gefährlicher, als man zunächst dachte. Die Sicherheitsfirma Qualys, die den Bug gefunden hat, hat dazu jetzt weitere Details veröffentlicht. Demnach lässt sich der Fehler auch übers Internet ausnutzen, das dauert aber unter Umständen sehr lange.

Die Sicherheitslücke findet sich im Code, der die E-Mail-Adressen der Empfänger einer E-Mail verarbeitet. Hier wird der Lokalteil der Mailadresse an eine Stringformatierungsfunktion übergeben. Diese Funktionalität ist sehr mächtig und besitzt auch Möglichkeiten, direkt Befehle auszuführen.

Kommandos werden beim Parsen der Mailadresse ausgeführt

Damit ist ein Angriff im Grunde trivial: Ein Angreifer muss lediglich eine E-Mail verschicken, bei der der Lokalpart des Empfängers ein entsprechendes Kommando enthält. Für lokale Angreifer funktioniert der Angriff auch direkt so, es können damit auf einem entsprechenden Server mit einem Nutzeraccount Root-Rechte erlangt werden.

Übers Netz wird diese direkte Form des Angriffs aber verhindert, da Mailadressen mit einem Lokalpart, der keinem Nutzer auf dem System entspricht, im Normalfall direkt abgelehnt werden. Die Beschreibung von Qualys listet aber eine Reihe von Situationen auf, in denen das nicht der Fall ist. So schalten etwa einige Mailserverbetreiber diese Verifikation ab, beispielsweise um zu verhindern, dass man von außen trivial testen kann, welche Mailadressen gültig sind.

Weiterhin unterstützt der Exim-Server eine Option, bei der man getaggte Mailadressen nutzen kann, die aus dem Lokalpart und einem durch ein Plus-Zeichen (+) abgetrennten weiteren Part bestehen, der frei gewählt werden kann. In dem Fall kann der Angriffscode im Teil hinter dem Plus untergebracht werden. In fast allen Fällen hat ein Angreifer damit direkt vollen Zugriff auf den Server, da Exim üblicherweise mit Root-Rechten läuft.

Angriff übers Netz dauert sieben Tage

Auch in der Standardkonfiguration lässt sich die Sicherheitslücke offenbar ausnutzen. Details dazu verschweigt Qualys aber nach wie vor. Es gibt aber demnach wohl eine Möglichkeit, die Lücke trotzdem auszunutzen, wenn man die Verbindung sehr lange offen hält - das Advisory spricht von sieben Tagen - und alle paar Minuten ein Zeichen schickt. Qualys warnt zudem, dass der Code sehr komplex und es denkbar ist, dass es weitere Möglichkeiten zur Ausnutzung der Sicherheitslücke gibt.

Geschlossen wurde die Sicherheitslücke im Version 4.92, die im Februar veröffentlicht wurde. Allerdings hatte man wohl dabei zunächst nicht erkannt, dass es sich um ein Sicherheitsproblem handelt.

Qualys nennt die Sicherheitslücke "The Return of the WIZard". Dabei handelt es sich um eine Anspielung auf ähnliche Bugs in einer Sendmail-Funktion, die in den 90er Jahren entdeckt wurden.

Exim wird vor allem von Debian-Anwendern häufig genutzt, da Exim dort Nutzern als Standard-Mailserver bei der Installation empfohlen wird. Debian hat inzwischen ein Update bereitgestellt und eine Sicherheitswarnung herausgegeben. Auch für andere gängige Linux-Distributionen stehen Updates bereit. Alle Exim-Nutzer sollten diese selbstverständlich so schnell wie möglich installieren.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Hybride Arbeit
Das neue Normal braucht bessere Ideen!

Nach dem Pandemie-erzwungenen Homeoffice schalten manche Firmen auf Dauerremote um, andere auf Büropflicht, wieder andere auf hybrid. Nichts davon funktioniert gut - weil es an Konzepten fehlt. Ein Appell.
Ein Erfahrungsbericht von Marvin Engel

Hybride Arbeit: Das neue Normal braucht bessere Ideen!
Artikel
  1. Playstation VR2 Vorschau: Virtual-Reality-Ausflug mit finaler Hardware
    Playstation VR2 Vorschau
    Virtual-Reality-Ausflug mit finaler Hardware

    Controller, Bildqualität, Foveated Rendering: In wenigen Wochen erscheint Playstation VR2. Golem.de hat das Gerät vorab ausprobiert.
    Von Peter Steinlechner

  2. Produkte mit Alexa bei Amazon zum Schleuderpreis
     
    Produkte mit Alexa bei Amazon zum Schleuderpreis

    Amazon hat seit heute mal wieder einige Produkte mit Alexa reduziert. Echo, Echo Dot und Echo Show gibt es zum Sonderpreis.
    Ausgewählte Angebote des E-Commerce-Teams

  3. Lieferkettenprobleme: Apple will trotz schlechter Zahlen nicht entlassen
    Lieferkettenprobleme
    Apple will trotz schlechter Zahlen nicht entlassen

    Apple hat enttäuschende Quartalsergebnisse veröffentlicht, doch an Entlassungen denkt Tim Cook entgegen dem allgemeinen Trend nicht.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Mindfactory DAMN-Deals: Grakas, CPUs & Co. • HTC Vice 2 Pro Full Kit 899€ • RAM-Tiefstpreise • Amazon-Geräte bis -50% • Samsung TVs bis 1.000€ Cashback • Corsair HS80 7.1-Headset -42% • PCGH Cyber Week • Samsung Curved 27" WQHD 267,89€ • Samsung Galaxy S23 vorbestellbar [Werbung]
    •  /