Memória túlcsordulásos sérülékenység EXIM levelezőszerverekben
Angol cím: Memory buffer overflow vulnerability in EXIM mailservers
CH azonosító: CH-14710
Publikálás dátuma: 2019.10.10.
Utolsó módosítás dátuma: 2019.10.10.
Leírás
A CVE-2019-16928 számon, az EXIM nyílt forráskódú levelezőszervereket érintő, kritikus kockázati besorolású sérülékenység vált ismertté, amelyen keresztül az azonosítással nem rendelkező, távoli támadó tetszőleges kódokat futtathat, vagy szolgáltatás megtagadásos támadást hajthat végre.
Leírás forrása: Gyártói referencia: exim.org Leírás utolsó módosítása: 2019.10.10.Elemzés leírás
Az EXIM nyílt forráskódú levelezőszerverek sérülékenysége vált ismertté, amelyen keresztül egy támadó hitelesítés nélkül, távolról tetszőleges kódokat futtathat, vagy szolgáltatás megtagadásos támadást hajthat végre.
A hiba a karakterláncok hosszának nem megfelelő kezelésében rejlik. Kihasználásához a támadónak megnövelt hosszúságú EHLO (EHLO: a küldő domain azonosítására szolgáló utasítás) parancsokat kell a rendszernek küldenie, ezzel memória túlcsordulást okozva, ami megszakítja a levelezőszerver működését. Ezzel összefüggésben a támadó további, tetszőleges kódbevitelre is képessé válik az érintett szerveren. A hiba előidézése egyszerű, ezért várható, hogy a közeljövőben a támadók megpróbálják ezt a lehetőséget kihasználni.
Érintett verziók: 4.92.3 előtti verzióik.
Az EXIM honlapján közzétette a hiba javítását tartalmazó szoftverfrissítést.
Elemzés leírás forrása: Egyéb referencia: www.trendmicro.com Elemzés leírás utolsó módosítása: 2019.10.10.Hatás
CVSS3 Súlyosság és Metrika
Base score: 9.8 (Kritikus)
Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Impact Score: 5.9
Exploitability Score: 3.9
Attack Vector (AV): Network
Attack Complexity (AC): Low
Privileges Required (PR): None
User Interaction (UI): None
Scope (S): Unchanged
Confidentiality Impact (C): High
Integrity Impact (I): High
Availability Impact (A): High
CVSS2 Súlyosság és Metrika
Base score: 7.5 (Magas)
Vector: AV:N/AC:L/Au:N/C:P/I:P/A:P
Impact Subscore: 6.4
Exploitability Subscore: 10.0
Access Vector (AV): Network
Access Complexity (AC): Low
Confidentiality Impact (C): Partial
Integrity Impact (S): Partial
Availability Impact (A): Partial
Hivatkozások
Gyártói referencia: exim.org
Egyéb referencia: www.tenable.com
Egyéb referencia: www.trendmicro.com
Egyéb referencia: cve.mitre.org
CVE-2019-16928 - NVD CVE-2019-16928
