Multiples vulnérabilités dans Exim (02 octobre 2023)
Publié le 2 octobre 2023 02:00
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
- Exim versions antérieures à 4.96.1 ou 4.97
Résumé
Le 27 septembre 2023, Zero Day Initiative (ZDI) a publié six avis de
sécurité [1] concernant des vulnérabilités de type zéro-jour affectant
les versions antérieures à 4.96.1 ou 4.97 de l'agent de transfert de
courriels (Mail Transfer Agent ou MTA) Exim. Le 1er octobre 2023,
l'éditeur a publié un avis de sécurité [2] contenant les détails des
six vulnérabilités découvertes par ZDI.
L'éditeur annonce dans son bulletin du 1er octobre 2023 la
correction, dans les versions 4.96.1 et 4.97 d'Exim, de trois
vulnérabilités affectant la gestion de l'authentification :
- Les vulnérabilités identifiées CVE-2023-42114 et CVE-2023-42116
ayant respectivement un score CVSSv3 de 3.7 et 8.1 sont présentes
dans le sous-système SPA/NTLM. Ce dernier introduit une faiblesse
dans la validation des entrées utilisateurs lors du traitement des
demandes de défis (challenges) NTLM. Un attaquant distant est en
mesure de provoquer une atteinte à la confidentialité des données et
une exécution de code arbitraire ;
- La vulnérabilité CVE-2023-42115, avec un score CVSSv3 de 9.8, est
liée à l'implémentation du mécanisme EXTERNAL de la couche
d'authentification et de sécurité simple (Simple Authentication and
Security Layer ou SASL). Un manque de validation des données
fournies par l'utilisateur permet à un attaquant distant de tenter
une exécution de code arbitraire.
Cependant, à la date de publication initiale de cette alerte, l'éditeur
ne propose pas de correctif pour les trois vulnérabilités suivantes :
- La vulnérabilité CVE-2023-42117 ayant un score CVSSv3 de 8.1 est
liée à la gestion du protocole PROXY. Un manque de validation des
données soumises par l'utilisateur peut permettre à un attaquant
distant de compromettre l'intégrité des données en mémoire et de
tenter une exécution de code arbitraire.
- La vulnérabilité identifiée CVE-2023-42118 a un score CVSSv3 de
7.5. Un attaquant adjacent au réseau peut tenter une exécution de
code arbitraire vers les versions affectées de la bibliothèque
libspf2 incluse dans Exim.
- Enfin, la vulnérabilité dont le numéro d'identification est
CVE-2023-42119 est référencée avec un score CVSSv3 de 3.1. Elle
est introduite par le sous-système de recherches DNS : un manque de
validation des données fournies par l'utilisateur peut entraîner une
lecture au-delà du tampon alloué. Un attaquant adjacent au réseau
peut alors, en conjonction avec d'autres vulnérabilités, tenter une
exécution de code arbitraire dans le contexte du compte de service.
Contournement provisoire
L'éditeur ne propose pas de correctif pour les trois vulnérabilités
CVE-2023-42117, CVE-2023-42118 et CVE-2023-42119. Les mesures de
contournement proposées consistent à :
- Pour CVE-2023-42117 : recourir à un relai (proxy) de confiance
utilisant le protocole PROXY ;
- Pour CVE-2023-42118 : ne pas utiliser de macro spf dans les
directives de configuration définissant les listes de contrôles
d'accès (Access Control Lists ou ACL) ;
- Pour CVE-2023-42119 : utiliser un résolveur DNS de confiance, étant
en mesure de valider les données en fonction des types
d'enregistrements DNS. Cependant, la description du contournement
proposé par l'éditeur ne permet pas de proposer un produit répondant
à cette exigence.
Solution
Le CERT-FR incite fortement à mettre à jour Exim à la dernière version
4.96.1 ou 4.97 afin de corriger les vulnérabilités CVE-2023-42114,
CVE-2023-42115 et CVE-2023-42116 dès la disponibilité des sources ou des
paquets par l'éditeur ou les distributions Linux.
L'installation des correctifs pour les autres vulnérabilités devra être
réalisée dès leur disponibilité.
Se référer au bulletin de sécurité de l'éditeur ou des distributions
Linux pour l'obtention des correctifs (cf. section Documentation).
Documentation