OpenSMTPD远程代码执行误差危害通告

宣布时间 2020-02-26

误差编号和级别


CVE编号：CVE-2020-8794 ，危险级别：严重 ，CVSS分值：官方未评定


影响版本


OpenSMTPD小于6.6.4p1版本


误差概述


OpenBSD是加拿大OpenBSD项目组的一套跨平台的、基于BSD的类UNIX操作系统。OpenSMTPD是OpenBSD团队开发的一个免费的服务器端SMTP协议实现 ，通过RFC5321界说 ，也是OpenBSD项目的一部分。


清静研究职员在邮件服务器OpenSMTPD中发明一个新的严重误差（CVE-2020-8794） ，攻击者可以远程使用该误差以root用户身份运行Shell下令。OpenSMTPD应用在多个基于Unix的系统上 ，包括FreeBSD、NetBSD、macOS、Linux（Alpine、Arch、Debian、Fedora、CentOS）。


该误差影响了OpenSMTPD的默认装置 ，研究职员指出该问题是在2015年12月引入的 ，但只有在2018年5月之后宣布的OpenSMTPD版本上才可以使用它以root特权执行代码。在以前的版本中 ，shell下令可以作为非root下令运行。


误差验证


研究职员称将于2月26日宣布PoC ，并且已经在目今的OpenBSD6.6、OpenBSD5.9、Debian10、Debian11和Fedora31上乐成测试 ，。


修复建议


OpenSMTPD 6.6.4p1中已经修复了该误差 ，建议用户尽快装置更新：https://www.mail-archive.com/misc@opensmtpd.org/msg04888.html。


参考链接


https://www.bleepingcomputer.com/news/security/new-critical-rce-bug-in-openbsd-smtp-server-threatens-linux-distros/