Tenable ブログ
ブログ通知を受信するCVE-2019-10149:Eximで発見された深刻なリモートコマンド実行の脆弱性

研究者は、Eximの古いバージョンに深刻なリモートコマンド実行の脆弱性を発見しました。410万を超えるシステムがローカルの不正利用に対して潜在的に脆弱であり、デフォルト以外の構成ではリモートからの不正利用が可能です。
背景
6月3日、Eximとして知られるメール転送エージェント(MTA)のメンテナは、オープンソースセキュリティ(OSS)メーリングリストでEximのバージョン4.87から4.91に深刻な脆弱性が存在することをQualysのセキュリティ研究者から報告されたことを認めました。6月5日、セキュリティ研究者らは、この発見に関する簡単なアドバイザリ を同じメーリングリストに掲載しました。
6月13日更新:セキュリティ研究者らは現在、この脆弱性を突く攻撃の試みを実際に確認しています。
Just detected the first attempts to exploit recent #exim remote command execution (RCE) security flaw (CVE-2019-10149). Tries to downloads a script located at http://173.212.214[.]137/s (careful). If you run Exim, make sure it's up-to-date. @qualys pic.twitter.com/s7veGBcKWO
— Freddie Leeman (@freddieleeman) June 9, 2019
1/n IMPORTANT, THREAD: Someone is actively exploiting vulnerable exim servers. The attackers are using that exim vuln to gain permanent root access via ssh to those exploited servers by using a script that's uploaded to that server through that exploit.
— Amit Serper (@0xAmit) June 13, 2019
分析
CVE-2019-10149は、2016年4月6日にリリースされたEximバージョン4.87で発見されたリモートコマンド実行の脆弱性です。デフォルトの設定では、ローカルの攻撃者はこの脆弱性を悪用して、localhostの特別に細工されたメールアドレスにメールを送信し、「root」ユーザとして即座にコマンドを実行することができます。これは、deliver_message()関数内のexpand_string関数によって解釈されるためです。デフォルトの構成ではリモートから悪用される可能性がありますが、攻撃者は脆弱なサーバーへの接続を7日間維持する必要があるため、信頼性が低いと見なされます。
デフォルト以外の設定では、リモートからの悪用が可能です。たとえば、 デフォルトの設定ファイル(src / configure.default)から'verify = recipient' ACLの要件が削除された場合、デフォルト設定のuserforwardルータの下にある‘local_part_suffix = +* : -*’のコメントが削除された場合、またはEximが「セカンダリMX(Mail eXchange)として、リモートドメインにメールを中継するように設定されていた」場合です。
概念実証
このブログが公開された時点では、この脆弱性に対する概念実証(PoC)はリリースされていません。 しかし、この脆弱性の悪用方法に関する詳細は6月6日に共有されており、上記の更新が示すように、攻撃の開始に使用されています。
影響の評価
Eximは広く使用されています。このブログが公開された時点でのShodanの検索結果では、脆弱性があると考えられるEximのバージョン(4.87-4.91)を実行しているシステムは410万を超えると表示されています。475,591のシステムは最新のパッチを適用したバージョン(4.92)を実行しています。つまり、Eximを搭載したシステムの90%近くが、ローカルでの悪用、および構成によってはリモートの悪用に対して脆弱です。
バージョン番号別の結果の合計
- Exim 4.87: 206,024
- Exim 4.88: 24,608
- Exim 4.89: 206,571
- Exim 4.90: 5,480
- Exim 4.91: 3,738,863
- Exim 4.92: 475,591
ソリューション
2019年5月27日にexim-securityメーリングリストを介してこの脆弱性が報告されましたが、Eximバージョン4.92では、この脆弱性が修正されているようです。
Eximメンテナは、CVE-2019-10149に対する修正を公開し、4.87から4.91までのすべての影響を受けるバージョンにバックポートできると発表しています。以前のリリースは「古すぎると見なされ」、もはやサポートされていないとのことです。
LinuxディストリビューションのCVE-2019-10149に関する情報はこちらからご覧いただけます。
- Debianセキュリティトラッカー:CVE-2019-10149
- Red Hat CVE Database: CVE-2019-10149
- Ubuntu CVE Tracker: CVE-2019-10149
- Gentoo Bugzilla: CVE-2019-10149
- Amazon Linux Security Center: ALAS-2019-1221
影響を受けているシステムの特定
この脆弱性を識別するための Tenable のプラグインのリストは、リリースされた時点で こちら に表示されます。
詳細情報
- Initial Report on CVE-2019-10149 on oss-security
- Abridged Advisory on CVE-2019-10149 on oss-security
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
- 脆弱性管理