Millionen von Exim-Mailservern sind anfällig für Zero-Day-RCE-Angriffe

Eine kritische Sicherheitslücke bedroht weltweit Mailserver, die auf die Exim Mail Transfer Software setzen. Die Sicherheitslücke (CVE-2023-42115) wurde von einem anonymen Sicherheitsforscher entdeckt und über die Zero Day Initiative (ZDI) von Trend Micro veröffentlicht. Sie beruht auf einer Out-of-bounds-Write-Schwachstelle im SMTP-Dienst. Diese Art von Problem kann zu Softwareabstürzen und zur Beschädigung von Daten führen sowie von Angreifern ausgenutzt werden, um Code oder Befehle auf anfälligen Servern auszuführen.

In der Mitteilung der ZDI heißt es, dass das Problem durch die fehlende Validierung der vom Benutzer eingegebenen Daten entstehe, was dazu führen könne, dass ein Schreibvorgang über das Ende des Puffers hinausgeht. Das könnten Angreifer ausnutzen, um Code oder Befehle auszuführen.

Bereits im Juni des vergangenen Jahres meldete das ZDI die Schwachstelle an Exim und übermittelte im Mai dieses Jahres auf Anfrage weitere Informationen über den Angriffsvektor an den Hersteller. Ein Patch, der die Mailserver absichert, fehlt indes auch weiterhin, genau wie ein Zeitplan, wann dieser verfügbar sein könnte. Daher veröffentlichte das ZDI Ende September ein Advisory mit den Details zu Zero-Day CVE-2023-42115. Auch eine Übersicht über die bisherige Kommunikation mit Exim ist darin enthalten.

Es bleibt zu hoffen, dass die Veröffentlichung Exim unter Druck setzt und dadurch zeitnah zumindest ein Zeitplan vorgelegt wird, wann mit einem Patch zu rechnen ist, denn MTA-Server wie Exim zählen zu den besonders attraktiven Zielen für einen Angriff. Das liegt einerseits daran, dass sie über das Internet leicht zugänglich sind und andererseits Cyberkriminellen einen guten Zugang zu den Netzwerken des Ziels bieten.

Bereits im März 2020 stellte die amerikanische NSA fest, dass die berüchtigte russische Hackergruppe Sandworm seit mindestens August 2019 die kritische Exim-Schwachstelle CVE-2019-10149 (The Return of the WIZard) ausnutzt. Exim ist außerdem der Standard-MTA in Debian-Linux-Distributionen und die weltweit beliebteste MTA-Software, wie eine Mailserver-Umfrage von Anfang September 2023 ergab. Demnach ist Exim auf mehr als 56 Prozent der insgesamt 602.000 im Internet erreichbaren Mailserver installiert, was knapp über 342.000 Exim-Servern entspricht. Laut einer Shodan-Suche sind derzeit über 3,5 Millionen Exim-Server online, die meisten davon in den Vereinigten Staaten, gefolgt von Russland und Deutschland.

Obwohl noch kein Patch zur Verfügung steht, um anfällige Exim-Server gegen potenzielle Angriffe zu schützen, rät das ZDI allen Administratoren, den Fernzugriff aus dem Internet zu beschränken, um eingehende Angriffsversuche zu vereiteln.

‍

‍

Bild (c) Gerd Altmann / Pixabay

‍