Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 6 (06.12.2017):
Für openSUSE Leap 42.2 und 42.3 stehen Sicherheitsupdates bereit, welche
die Schwachstelle CVE-2017-16943 adressieren.
Version 5 (04.12.2017):
Der Hersteller hat mittlerweile Exim 4.89.1 als Sicherheitsupdate
veröffentlicht, in dem alle bisherigen Fixes aus den Versionen 4.89 bis
4.89+fixes zusammengefasst sind. Zusätzlich zu den Schwachstellen
CVE-2017-16943 und CVE-2017-16944 wird im Changelog die bereits bekannte
Schwachstelle CVE-2017-1000369 erwähnt, die einem lokalen, nicht
authentisierten Angreifer die Ausführung beliebigen Programmcodes
ermöglicht. Im Gegensatz zu früheren Berichten betreffen die beiden
Schwachstellen CVE-2017-16943 und CVE-2017-16944 eine Funktionalität, die
erst mit Exim 4.88 eingeführt wurde. Es sind also nur Exim 4.88 und 4.89
von diesen Schwachstellen betroffen.
Version 4 (04.12.2017):
Für die Distributionen Fedora 26 und 27 sowie Fedora EPEL 6 und 7 stehen
neue Sicherheitsupdates für das Paket ‘exim-4.89’ zur Verfügung bereit,
welche nun explizit beide Schwachstellen beheben. Die Pakete haben derzeit
den Status ‘testing’. Die früheren Updates wurden in den Status ‘obsolete’
versetzt und die betreffenden Referenzen von dieser Meldung entfernt.
Version 3 (30.11.2017):
Debian stellt für die stabile Distribution Stretch ein Sicherheitsupdate
in Form der Version ‘4.89-2+deb9u2’ bereit. Ferner weist Debian darauf
hin, dass in Default-Installationen das Bekanntmachen der ‘ESMTP
CHUNKING’-Erweiterung deaktiviert ist und diese darum nicht betroffen
sind.
Version 2 (30.11.2017):
Canonical stellt jetzt auch Sicherheitsupdates für die Distributionen
Ubuntu 17.10 und Ubuntu 17.04 bereit, die die Schwachstelle CVE-2017-16944
explizit adressieren.
Version 1 (28.11.2017):
Neues Advisory
Betroffene Software:
Exim >= 4.88
Exim < 4.89.1
Betroffene Plattformen:
Canonical Ubuntu Linux 17.04
Canonical Ubuntu Linux 17.10
Debian Linux 9.2 Stretch
openSUSE Leap 42.2
openSUSE Leap 42.3
Red Hat Fedora 26
Red Hat Fedora 27
Extra Packages for Red Hat Enterprise Linux 6
Extra Packages for Red Hat Enterprise Linux 7
Zwei Schwachstellen in Exim ermöglichen einem entfernten, nicht
authentisierten Angreifer die Durchführung von Denial-of-Service
(DoS)-Angriffen. Eine der Schwachstellen ermöglicht außerdem die Ausführung
beliebigen Programmcodes.
Derzeit gibt es noch kein offizielles Release von Exim, was vermutlich daran
liegt, dass diese Schwachstellen direkt öffentlich gemacht wurden, ohne Exim
Zeit zur Reaktion zu geben. Exim hat hat allerdings einen kurzfristigen
Workaround beschrieben.
Das Fedora-Project hat für die Distributionen Fedora 26 und 27 sowie Fedora
EPEL 6 und 7 Sicherheitsupdates für das Paket 'exim-4.89' zur Verfügung
gestellt, welche die Schwachstellen beheben (die Patch-Referenzen führen
explizit nur CVE-2017-16943 auf, die zugehörige Bug ID nennt aber auch
CVE-2017-16944). Die Pakete für Fedora 26 und 27 haben derzeit den Status
'testing', die Pakete für Fedora EPEL 6 und 7 haben noch den Status
'pending'.
Canonical stellt Sicherheitsupdates für die Distributionen Ubuntu 17.10 und
Ubuntu 17.04 bereit, welche ebenfalls explizit CVE-2017-16943 adressieren.
Workaround:
Als kurzfristigen Workaround empfiehlt Exim die Konfiguration
'chunk_advertise_hosts=' zu setzen (ohne ein weiteres Zeichen nach dem
'='-Zeichen), wodurch BDAT-Kommandos nicht mehr akzeptiert werden.
Patch:
Ubuntu Security Notice USN-3493-1
http://www.ubuntu.com/usn/usn-3493-1/
Patch:
Debian Security Advisory DSA-4053-1
https://www.debian.org/security/2017/dsa-4053
Patch:
Ubuntu Security Notice USN-3499-1
http://www.ubuntu.com/usn/usn-3499-1/
Patch:
Fedora Security Update FEDORA-2017-0032baa7d7 (Fedora 26, exim-4.89-7.fc26)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-0032baa7d7
Patch:
Fedora Security Update FEDORA-2017-0053bb9719 (Fedora 27, exim-4.89-7.fc27)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-0053bb9719
Patch:
Fedora Security Update FEDORA-EPEL-2017-678916467d (Fedora EPEL 6,
exim-4.89-4.el6)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-678916467d
Patch:
Fedora Security Update FEDORA-EPEL-2017-f58e92e860 (Fedora EPEL 7,
exim-4.89-4.el7)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-f58e92e860
Patch:
Exim 4.89.1 Changelog
https://github.com/Exim/exim/blob/6e5f1c267dfd43b73d69cf766650caa6bced91ed/doc/doc-txt/ChangeLog
Patch:
SUSE Security Update openSUSE-SU-2017:3220-1
http://lists.opensuse.org/opensuse-updates/2017-12/msg00023.html
CVE-2017-16944: Schwachstelle in Exim ermöglicht Denial-of-Service-Angriff
In der Funktion ‘recieve_msg’ in ‘recieve.c’ im SMTP Dienst (Simple Mail
Transfer Protocol) von Exim 4.88 und 4.89 existiert eine Schwachstelle
aufgrund fehlerhafter Prüfung von BDAT-Kommandos (Binary Data) und dem
‘.’-Zeichen, welches das Ende eines Dokumentes markiert. Dies ermöglicht
eine Endlosschleife zu erzeugen, die den Stack-Speicher überlädt, was von
einem entfernten, nicht authentisierten Angreifer ausgenutzt werden kann, um
einen Denial-of-Service (DoS)-Angriff durchzuführen.
CVE-2017-16943: Schwachstelle in Exim ermöglicht u.a. Ausführen beliebigen
Programmcodes
In der Funktion ‘recieve_msg’ in ‘recieve.c’ im SMTP Dienst (Simple Mail
Transfer Protocol) von Exim 4.88 und 4.89 existiert eine Schwachstelle
aufgrund fehlerhafter Prüfung von BDAT-Kommandos (Binary Data), wodurch es
zum Zugriff auf bereits freigegebenen Speicher (Use-after-free) kommen kann.
Die Schwachstelle kann von einem entfernten, nicht authentisierten Angreifer
ausgenutzt werden, um beliebigen Programmcode zur Ausführung zu bringen oder
einen Denial-of-Service (DoS)-Angriff durchzuführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2132/
Schwachstelle CVE-2017-16943 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-16943
Schwachstelle CVE-2017-16944 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-16944
Ubuntu Security Notice USN-3493-1:
http://www.ubuntu.com/usn/usn-3493-1/
Workaround von Exim: Critical Exim Security Vulnerability: Disable Chunking:
https://lists.exim.org/lurker/message/20171125.034842.d1d75cac.en.html
Debian Security Advisory DSA-4053-1:
https://www.debian.org/security/2017/dsa-4053
Ubuntu Security Notice USN-3499-1:
http://www.ubuntu.com/usn/usn-3499-1/
Fedora Security Update FEDORA-2017-0032baa7d7 (Fedora 26, exim-4.89-7.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-0032baa7d7
Fedora Security Update FEDORA-2017-0053bb9719 (Fedora 27, exim-4.89-7.fc27):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-0053bb9719
Fedora Security Update FEDORA-EPEL-2017-678916467d (Fedora EPEL 6,
exim-4.89-4.el6):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-678916467d
Fedora Security Update FEDORA-EPEL-2017-f58e92e860 (Fedora EPEL 7,
exim-4.89-4.el7):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-f58e92e860
Exim 4.89.1 Changelog:
https://github.com/Exim/exim/blob/6e5f1c267dfd43b73d69cf766650caa6bced91ed/doc/doc-txt/ChangeLog
Information zu betroffenen Versionen von Exim:
http://openwall.com/lists/oss-security/2017/11/25/1
SUSE Security Update openSUSE-SU-2017:3220-1:
http://lists.opensuse.org/opensuse-updates/2017-12/msg00023.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
