Nachdem uns einige Nachfragen bezüglich der aktuellen Exim-Sicherheitslücken erreicht haben, möchten wir hier alle Interessierten informieren und darstellen, warum SecuMail vor den Exim Exploits schützt.

Wo wird Exim eingesetzt?

Exim ist ein sehr verbreiteter Mail Transfer Agent (MTA), der insbesondere bei Security- und Antispam- Services (u.a. Sophos Security Appliance) sowie Freemailern und Linux-Servern eingesetzt wird. Exim ist auch als  Standard MTA auf Debian Servern installiert. Außerdem wird er von vielen großen Hosting-Anbietern auf Root-Servern vorinstalliert (z.B. Hetzner, Strato).

 

Warum sind diese Sicherheitslücken so gefährlich?

Qualys gibt bekannt, dass laut einer aktuellen Umfrage ca. 60% der Mail-Server im Internet Exim verwenden. Schätzungsweise sind derzeit rund 4 Millionen Exim-Installationen direkt über das Internet erreichbar und daher angreifbar. Etwa die Hälfte der 21 bekannten Schwachstellen erlauben einem Angreifer aus dem Internet Codes auf einem dieser Server auszuführen und Root-Rechte zu erlangen. Die Sicherheitslücken sind scheinbar bereits seit vielen Jahren vorhanden, wurden aber erst kürzlich bei einem Sicherheitsaudit gefunden.

 

Um welche Sicherheitslücken geht es?

Die Schwachstellen treten bei allen Exim-Servern auf, die älter als Version 4.94.2 sind. Derzeit gibt es 21 Sicherheitslücken, auch „21Nails“ genannt. Davon sind 11 lokal und 10 über das Netzwerk (!) ausnutzbar.

Die 10 Remote ausnutzbaren Sicherheitslücken: 

• CVE-2020-28017: Integer overflow in receive_add_recipient()
• CVE-2020-28020: Integer overflow in receive_msg()
• CVE-2020-28023: Out-of-bounds read in smtp_setup_msg()
• CVE-2020-28021: New-line injection into spool header file (remote)
• CVE-2020-28022: Heap out-of-bounds read and write in extract_option()
• CVE-2020-28026: Line truncation and injection in spool_read_header()
• CVE-2020-28019: Failure to reset function pointer after BDAT error
• CVE-2020-28024: Heap buffer underflow in smtp_ungetc()
• CVE-2020-28018: Use-after-free in tls-openssl.c
• CVE-2020-28025: Heap out-of-bounds read in pdkim_finish_bodyhash()

 

Schützt SecuMail davor?

Soweit bisher bekannt ist, sind diese Lücken nur über eine direkte SMTP-Verbindung mit dem Exim-Dienst ausnutzbar. Ist SecuMail (oder ein anderer Dienst als MX-basiertes Gateway) vor den Exim-Server geschaltet, laufen Angriffe ins Leere, selbst wenn die Lücken noch nicht gepatcht wurden. Voraussetzung ist, dass Sie Ihre Firewall so konfiguriert haben, dass SMTP-Verbindungen nur von den SecuMail-Servern angenommen werden.

SecuMail selbst verwendet eine andere MTA-Software und ist daher selbst nicht angreifbar.

 

Wie können Sie sich noch schützen?

Wir empfehlen, alle Exim-Installationen, deren Ports direkt aus dem Internet erreichbar sind, umgehend zu patchen. Für gängige Linux-Distributionen sollten Patches verfügbar sein. Wie es bei Ihrer Security-Appliance im Serverraum oder bei Ihrem Hoster aussieht, müssen Sie mit dem jeweiligen Hersteller klären.

 

 

Bei Fragen oder Wünsche, stehen wir Ihnen selbstverständlich gerne zur Verfügung. Kontaktieren Sie uns mit einer Mail an support@secumail.de oder telefonisch unter der Nummer +49 (0) 8171-246920! 

 

 

 

Quellen:

https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Cybersicherheitswarnungen/DE/2021/2021-216469.pdf
https://blog.qualys.com/vulnerabilities-research/2021/05/04/21nails-multiple-vulnerabilities-in-exim-mail-server
https://www.qualys.com/2021/05/04/21nails/21nails.txt
https://github.com/lmol/CVE-2020-28018