Multiples vulnérabilités dans Exim

Risque(s)

- Contournement de la politique de sécurité
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Exécution de code arbitraire à distance

Systèmes affectés

- Exim versions antérieures à 4.96.1 ou 4.97

Résumé

Le 27 septembre 2023, Zero Day Initiative (ZDI) a publié six avis de sécurité [1] concernant des vulnérabilités de type zéro-jour affectant les versions antérieures à 4.96.1 ou 4.97 de l'agent de transfert de courriels (Mail Transfer Agent ou MTA) Exim. Le 1er octobre 2023, l'éditeur a publié un avis de sécurité [2] contenant les détails des six vulnérabilités découvertes par ZDI.

L'éditeur annonce dans son bulletin du 1er octobre 2023 la correction, dans les versions 4.96.1 et 4.97 d'Exim, de trois vulnérabilités affectant la gestion de l'authentification :

- Les vulnérabilités identifiées CVE-2023-42114 et CVE-2023-42116 ayant respectivement un score CVSSv3 de 3.7 et 8.1 sont présentes dans le sous-système SPA/NTLM. Ce dernier introduit une faiblesse dans la validation des entrées utilisateurs lors du traitement des demandes de défis (challenges) NTLM. Un attaquant distant est en mesure de provoquer une atteinte à la confidentialité des données et une exécution de code arbitraire ;
- La vulnérabilité CVE-2023-42115, avec un score CVSSv3 de 9.8, est liée à l'implémentation du mécanisme EXTERNAL de la couche d'authentification et de sécurité simple (Simple Authentication and Security Layer ou SASL). Un manque de validation des données fournies par l'utilisateur permet à un attaquant distant de tenter une exécution de code arbitraire.

Cependant, à la date de publication initiale de cette alerte, l'éditeur ne propose pas de correctif pour les trois vulnérabilités suivantes :

- La vulnérabilité CVE-2023-42117 ayant un score CVSSv3 de 8.1 est liée à la gestion du protocole PROXY. Un manque de validation des données soumises par l'utilisateur peut permettre à un attaquant distant de compromettre l'intégrité des données en mémoire et de tenter une exécution de code arbitraire.
- La vulnérabilité identifiée CVE-2023-42118 a un score CVSSv3 de 7.5. Un attaquant adjacent au réseau peut tenter une exécution de code arbitraire vers les versions affectées de la bibliothèque libspf2 incluse dans Exim.
- Enfin, la vulnérabilité dont le numéro d'identification est CVE-2023-42119 est référencée avec un score CVSSv3 de 3.1. Elle est introduite par le sous-système de recherches DNS : un manque de validation des données fournies par l'utilisateur peut entraîner une lecture au-delà du tampon alloué. Un attaquant adjacent au réseau peut alors, en conjonction avec d'autres vulnérabilités, tenter une exécution de code arbitraire dans le contexte du compte de service.

CONTOURNEMENT PROVISOIRE

L'éditeur ne propose pas de correctif pour les trois vulnérabilités CVE-2023-42117, CVE-2023-42118 et CVE-2023-42119. Les mesures de contournement proposées consistent à :

- Pour CVE-2023-42117 : recourir à un relai (proxy) de confiance utilisant le protocole PROXY ;
- Pour CVE-2023-42118 : ne pas utiliser de macro spf dans les directives de configuration définissant les listes de contrôles d'accès (Access Control Lists ou ACL) ;
- Pour CVE-2023-42119 : utiliser un résolveur DNS de confiance, étant en mesure de valider les données en fonction des types d'enregistrements DNS. Cependant, la description du contournement proposé par l'éditeur ne permet pas de proposer un produit répondant à l'exigence de l'éditeur.

Solution

Le CERT-FR incite fortement à mettre à jour Exim à la dernière version 4.96.1 ou 4.97 afin de corriger les vulnérabilités CVE-2023-42114, CVE-2023-42115 et CVE-2023-42116 dès la disponibilité des sources ou des paquets par l'éditeur ou les distributions Linux.

L'installation des correctifs pour les autres vulnérabilités devra être réalisée dès leur disponibilité.

Se référer au bulletin de sécurité de l'éditeur ou des distributions Linux pour l'obtention des correctifs (cf. section Documentation).

Documentation

- [1] Bulletin de sécurité ZDI 23-1468 du 27 septembre 2023
https://www.zerodayinitiative.com/advisories/ZDI-23-1468/
- Bulletin de sécurité ZDI 23-1469 du 27 septembre 2023
https://www.zerodayinitiative.com/advisories/ZDI-23-1469/
- Bulletin de sécurité ZDI 23-1470 du 27 septembre 2023
https://www.zerodayinitiative.com/advisories/ZDI-23-1470/
- Bulletin de sécurité ZDI 23-1471 du 27 septembre 2023
https://www.zerodayinitiative.com/advisories/ZDI-23-1471/
- Bulletin de sécurité ZDI 23-1472 du 27 septembre 2023
https://www.zerodayinitiative.com/advisories/ZDI-23-1472/
- Bulletin de sécurité ZDI 23-1473 du 27 septembre 2023
https://www.zerodayinitiative.com/advisories/ZDI-23-1473/
- [2] Bulletin de sécurité Exim du 01 octobre 2023
https://www.exim.org/static/doc/security/CVE-2023-zdi.txt
- Référence CVE CVE-2023-42114
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-42114
- Référence CVE CVE-2023-42115
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-42115
- Référence CVE CVE-2023-42116
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-42116
- Référence CVE CVE-2023-42117
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-42117
- Référence CVE CVE-2023-42118
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-42118
- Référence CVE CVE-2023-42119
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-42119

Dernière version du document

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2023-ALE-010/