Memória túlcsordulásos sérülékenység EXIM levelezőszerverekben
Angol cím: Memory buffer overflow vulnerability in EXIM mailservers
CH azonosító: CH-14710
Publikálás dátuma: 2019.10.10.
Utolsó módosítás dátuma: 2019.10.10.
Leírás
A CVE-2019-16928 számon, az EXIM nyílt forráskódú levelezőszervereket érintő, kritikus kockázati besorolású sérülékenység vált ismertté, amelyen keresztül az azonosítással nem rendelkező, távoli támadó tetszőleges kódokat futtathat, vagy szolgáltatás megtagadásos támadást hajthat végre.
Leírás forrása: Gyártói referencia: exim.org Leírás utolsó módosítása: 2019.10.10.Elemzés leírás
Az EXIM nyílt forráskódú levelezőszerverek sérülékenysége vált ismertté, amelyen keresztül egy támadó hitelesítés nélkül, távolról tetszőleges kódokat futtathat, vagy szolgáltatás megtagadásos támadást hajthat végre.
A hiba a karakterláncok hosszának nem megfelelő kezelésében rejlik. Kihasználásához a támadónak megnövelt hosszúságú EHLO (EHLO: a küldő domain azonosítására szolgáló utasítás) parancsokat kell a rendszernek küldenie, ezzel memória túlcsordulást okozva, ami megszakítja a levelezőszerver működését. Ezzel összefüggésben a támadó további, tetszőleges kódbevitelre is képessé válik az érintett szerveren. A hiba előidézése egyszerű, ezért várható, hogy a közeljövőben a támadók megpróbálják ezt a lehetőséget kihasználni.
Érintett verziók: 4.92.3 előtti verzióik.
Az EXIM honlapján közzétette a hiba javítását tartalmazó szoftverfrissítést.
Elemzés leírás forrása: Egyéb referencia: www.trendmicro.com Elemzés leírás utolsó módosítása: 2019.10.10.Hatás
CVSS3 Súlyosság és Metrika
Alap pontszám: 9.8 (Kritikus)
Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Hatás pontszáma: 5.9
Kihasználhatóság pontszáma: 3.9
Támadás Vektora (AV): Hálózat
Támadás komplexitása (AC): Alacsony
Jogosultság Szükséges (PR): Nincs
Felhasználói Interakció (UI): Nincs
Hatókör (S): Nem változott
Bizalmasság Hatása (C):
Sértetlenség Hatása (I):
Rendelkezésre állás Hatása (A):
CVSS2 Súlyosság és Metrika
Alap pontszám: 7.5 (Magas)
Vektor: AV:N/AC:L/Au:N/C:P/I:P/A:P
Hatás alpontszáma: 6.4
Kihasználhatóság alpontszáma: 10.0
Hozzáférés Vektora (AV): Hálózat
Hozzáférés Komplexitása (AC): Alacsony
Bizalmasság Hatása (C): Rész
Sértetlenség Hatása (S): Rész
Rendelkezésre állás Hatása (A): Rész
Hivatkozások
Gyártói referencia: exim.org
Egyéb referencia: www.tenable.com
Egyéb referencia: www.trendmicro.com
Egyéb referencia: cve.mitre.org
CVE-2019-16928 - NVD CVE-2019-16928
