Onderwerp: Exim 0day

Zie http://www.exim.org/lurker/message/2...32d4f2.en.html

Er is nog geen publieke exploit, maar dat zal een kwestie van tijd zijn. Snelste fix om eventuele problemen te voorkomen is Exim te recompilen met de volgende extra optie in Local/Makefile:

ALT_CONFIG_PREFIX=/etc

Op deze manier kan het config bestandje niet geladen worden en dus geen setuid bits geset worden. Natuurlijk er van uitgaande dat je /etc niet writable is voor exim ;-)

Zie http://www.exim.org/exim-html-curren...html/ch52.html voor meer info wat de config setting doet.

Wij houden dit ook nauwlettend in de gaten. Er zijn nog geen externe pogingen tot misbruik gesignaleerd en we hebben zelf het probleem nog niet kunnen bevestigen (maar draaien ook een nieuwere basis versie). Dit lijkt potentieel inderdaad erg gevaarlijk!

Met een nieuwere basis versie ben je er denk ik niet. De handigste fix op dit moment is echt er voor zorgen dat er geen gekke config files ingeladen kunnen worden.

Wellicht dat de buffer overflow toevallig al gefixed is in een nieuwere versie, maar de root escalation werkt sowieso ook in de laatste versie.

Had dit ook al gezien inderdaad, maar het is me niet helemaal duidelijk of dit nu om de specifieke apt-exim-package gaat, of dat dit een algemeen exim probleem is...

cPanel heeft er ook last van (zelfs onder FreeBSD nog...), dus ik denk haast dat het een algemeen Exim probleem is.

Alleen Exim <4.70 lijkt affected (Debian stable draait 4.69 dus heel veel servers zullen dit probleem wel hebben). wdv, waar heb je gelezen dat de laatste versie ook affected is? Wij krijgen het bij ons niet gereproduceerd (4.72).

cPanel heeft inmiddels een fix uitgebracht:

=============
Summary
=============
A privilege escalation vulnerability exists in Exim, the mail transfer agent used by cPanel & WHM.

-----------------------
Security Rating
-----------------------
This update has been rated as Critical by the cPanel Security team.

Description
-----------------------
Research up to this point indicates the exploit is a buffer overflow vulnerability that takes advantage of the default Exim configuration settings related to altering Exim's runtime configuration file along with overriding the macro definitions in the configuration file. This buffer overflow may lead to arbitrary code execution with the privileges of the user executing the Exim daemon. However, the Exim user retains root privileges when running the -C and -D command line flags. Through the creation of a temporary exim configuration which is processed with the -C or -D flags, the Exim user is able to execute arbitrary commands as root.

Solution
-----------------------
To resolve and work around the issue, for Linux-based systems cPanel has issued new Exim RPMs. The new version of Exim locks configuration file locations to the /etc/exim prefix as well as disabling use of the -D flag. Server Owners are strongly urged to upgrade to the following Exim RPM versions:

• Systems configured to use Maildir: Exim 4.69-25
• Systems configured to use mbox (deprecated): Exim 4.63-4

Exim RPMs will be distributed through cPanel's package management system. All cPanel & WHM servers receiving updates automatically will receive the updated Exim RPM during normal update and maintenance operations (upcp). If you prefer to install the update right now, please run the following in a root shell:

/scripts/eximup

On cPanel & WHM FreeBSD servers, Exim is an unmanaged install performed from the Ports system. To apply a like setup on FreeBSD systems, server administrators will need to perform the following manual configuration:

• Remove WITHOUT_ALT_CONFIG_PREFIX=yes from /etc/make.conf
• Add the following to /var/db/ports/exim/options

WITH_ALT_CONFIG_PREFIX=true
SEDLIST+= -e 's,^(ALT_CONFIG_PREFIX=).*,\1/etc/exim,'
SEDLIST+= -e 's,^\# (DISABLE_D_OPTION=),\1,'

• Change directory to /usr/ports/mail/exim
• Execute 'make deinstall'
• Execute 'make install'

Caution: the above changes have potential to be undone by /scripts/checkmakeconf, and updates to the Exim port. An upcoming version of cPanel & WHM 11.28 will resolve this for FreeBSD users.

References
-----------------------
http://docs.cpanel.net/twiki/bin/vie...SecurityLevels
http://www.exim.org/lurker/message/2...32d4f2.en.html



_______________________________________________

Het lijkt er inderdaad op dat het vanaf 4.70 gefixt is. Ik denk alleen dat de meesten <4.70 draaien. Ik blijf het vreemd vinden dat hier pas zo laat en traag op gereageerd wordt.

De cPanel oplossing is een workaround, de beste fix lijkt vooralsnog een upgrade naar Exim >4.69. DirectAdmin thread: http://www.directadmin.com/forum/sho...highlight=exim

Maar Exim 4.72 lijkt ook vulnerable te zijn. De persoon die de bug heeft ontdekt, zegt ook:

"I haven't reproduced remote part of attack, but escalation from Debian-exim to
root works also at exim4-daemon-light 4.72-2 from Debian Squeeze. "

Edit: never mind, verderop lees ik dat >4.69 alleen onder Debian de bug nog bevat. Zie http://www.exim.org/lurker/message/2...d05cab.en.html

Oorspronkelijk geplaatst door dicktump

Maar Exim 4.72 lijkt ook vulnerable te zijn."

Van Ted Cooper:
There are 2 different pieces to this - the buffer overflow allowing shell access as the exim user - and the priviledge escalation using -C and/or -D . The priv escalation is possible any time someone is running as the exim user, even up to the current version but can be prevented entirely by recompiling with -C restrictions.
Normally, users can't run as the exim user so they need the buffer exploit or some kind of cheating by root (which is how it was tested to see if it still working in 4.72)
No one has been able to get the buffer overflow to work in 4.7x yet

Vooralsnog lijkt een upgrade naar Exim 4.72 dus in eerste instantie in ieder geval voldoende.

Inmiddels al een flinke batch cPanel servers een exim update gegeven. Vanavond de DA bakken maar eens bij langs.

We zijn hier inmiddels alle DirectAdmin servers aan het patchen. Exim 4.72 van source compilen en de fixes die cPanel heeft gedaan even toepassen. Dan is het in principe redelijk veilig.

Oorspronkelijk geplaatst door dicktump

We zijn hier inmiddels alle DirectAdmin servers aan het patchen. Exim 4.72 van source compilen en de fixes die cPanel heeft gedaan even toepassen. Dan is het in principe redelijk veilig.

Hier ook al in het update script geplaatst, volgen het wel nog wat op...

ter referentie hier gelijk ff zetten hoe je makkelijk kan updaten met directadmin

Code:

cd /usr/local/directadmin/custombuild
./build set custombuild 1.2
./build update
./build exim