Tenable ブログ
ブログ通知を受信する
CVE-2019-10149：Eximで発見された深刻なリモートコマンド実行の脆弱性
研究者は、Eximの古いバージョンに深刻なリモートコマンド実行の脆弱性を発見しました。410万を超えるシステムがローカルの不正利用に対して潜在的に脆弱であり、デフォルト以外の構成ではリモートからの不正利用が可能です。
背景
6月3日、Eximとして知られるメール転送エージェント（MTA）のメンテナは、オープンソースセキュリティ（OSS）メーリングリストでEximのバージョン4.87から4.91に深刻な脆弱性が存在することをQualysのセキュリティ研究者から報告されたことを認めました。6月5日、セキュリティ研究者らは、この発見に関する簡単なアドバイザリ を同じメーリングリストに掲載しました。
6月13日更新：セキュリティ研究者らは現在、この脆弱性を突く攻撃の試みを実際に確認しています。
Just detected the first attempts to exploit recent #exim remote command execution (RCE) security flaw (CVE-2019-10149). Tries to downloads a script located at http://173.212.214[.]137/s (careful). If you run Exim, make sure it's up-to-date. @qualys pic.twitter.com/s7veGBcKWO
— Freddie Leeman (@freddieleeman) June 9, 2019
1/n IMPORTANT, THREAD: Someone is actively exploiting vulnerable exim servers. The attackers are using that exim vuln to gain permanent root access via ssh to those exploited servers by using a script that's uploaded to that server through that exploit.
— Amit Serper (@0xAmit) June 13, 2019
分析
CVE-2019-10149は、2016年4月6日にリリースされたEximバージョン4.87で発見されたリモートコマンド実行の脆弱性です。デフォルトの設定では、ローカルの攻撃者はこの脆弱性を悪用して、localhostの特別に細工されたメールアドレスにメールを送信し、「root」ユーザとして即座にコマンドを実行することができます。これは、deliver_message（）関数内のexpand_string関数によって解釈されるためです。デフォルトの構成ではリモートから悪用される可能性がありますが、攻撃者は脆弱なサーバーへの接続を7日間維持する必要があるため、信頼性が低いと見なされます。
デフォルト以外の設定では、リモートからの悪用が可能です。たとえば、 デフォルトの設定ファイル（src / configure.default）から'verify = recipient' ACLの要件が削除された場合、デフォルト設定のuserforwardルータの下にある‘local_part_suffix = +* : -*’のコメントが削除された場合、またはEximが「セカンダリMX（Mail eXchange）として、リモートドメインにメールを中継するように設定されていた」場合です。
概念実証
このブログが公開された時点では、この脆弱性に対する概念実証（PoC）はリリースされていません。 しかし、この脆弱性の悪用方法に関する詳細は6月6日に共有されており、上記の更新が示すように、攻撃の開始に使用されています。
影響の評価
Eximは広く使用されています。このブログが公開された時点でのShodanの検索結果では、脆弱性があると考えられるEximのバージョン（4.87-4.91）を実行しているシステムは410万を超えると表示されています。475,591のシステムは最新のパッチを適用したバージョン（4.92）を実行しています。つまり、Eximを搭載したシステムの90％近くが、ローカルでの悪用、および構成によってはリモートの悪用に対して脆弱です。
バージョン番号別の結果の合計
- Exim 4.87: 206,024
- Exim 4.88: 24,608
- Exim 4.89: 206,571
- Exim 4.90: 5,480
- Exim 4.91: 3,738,863
- Exim 4.92: 475,591
ソリューション
2019年5月27日にexim-securityメーリングリストを介してこの脆弱性が報告されましたが、Eximバージョン4.92では、この脆弱性が修正されているようです。
Eximメンテナは、CVE-2019-10149に対する修正を公開し、4.87から4.91までのすべての影響を受けるバージョンにバックポートできると発表しています。以前のリリースは「古すぎると見なされ」、もはやサポートされていないとのことです。
LinuxディストリビューションのCVE-2019-10149に関する情報はこちらからご覧いただけます。
- Debianセキュリティトラッカー：CVE-2019-10149
- Red Hat CVE Database: CVE-2019-10149
- Ubuntu CVE Tracker: CVE-2019-10149
- Gentoo Bugzilla: CVE-2019-10149
- Amazon Linux Security Center: ALAS-2019-1221
影響を受けているシステムの特定
この脆弱性を識別するための Tenable のプラグインのリストは、リリースされた時点で こちら に表示されます。
詳細情報
- Initial Report on CVE-2019-10149 on oss-security
- Abridged Advisory on CVE-2019-10149 on oss-security
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
CVE-2023-34362: MOVEIt Transfer Critical Zero-Day Vulnerability Exploited in the Wild
June 2, 2023Discovery of a new zero-day vulnerability in MOVEit Transfer becomes the second zero-day disclosed in a managed file transfer solution in 2023, with reports suggesting that threat actors have stolen data from a number of organizations.
The Role of Open Source in Cloud Security: A Case Study with Terrascan by Tenable
May 11, 2023Open source software and cloud-native infrastructure are inextricably linked and can play a key role in helping to manage security. Open source security tools like Terrascan by Tenable are easy to scale, cost-effective and benefit from an agile community of contributors. Let’s take a look at how you can implement it today.
Microsoft’s May 2023 Patch Tuesday Addresses 38 CVEs (CVE-2023-29336)
May 9, 2023Microsoft addresses 38 CVEs including three zero-day vulnerabilities, two of which were exploited in the wild.
CVE-2023-34362: MOVEIt Transfer Critical Zero-Day Vulnerability Exploited in the Wild
June 2, 2023Discovery of a new zero-day vulnerability in MOVEit Transfer becomes the second zero-day disclosed in a managed file transfer solution in 2023, with reports suggesting that threat actors have stolen data from a number of organizations.
Cybersecurity Snapshot: Will AI Kill Us All? How Can You Boost Identity Security? Do You Use a Framework for Cloud Security?
June 2, 2023Check out a hair-raising warning from AI experts. Plus, find out why securing identities is getting harder than ever – and how to fix it. Also, how a cloud security framework can help you – a lot. In addition, check out nifty SaaS security tips. And much more!
Tenable Cyber Watch: OpenAI CEO Testifies Before Congress; Meet DarkBERT, New AI Trained on the Dark Web; and more
May 29, 2023This week’s edition of the Tenable Cyber Watch unpacks Sam Altman’s testimony before Congress on AI risks and regulations, and addresses the importance of cyberattack victims speaking up after an attack. Also covered: An introduction to DarkBERT, the only AI trained on the Dark Web.
- 脆弱性管理