Thema: Mailserver diverses ...

[SiLæncer]

Die Entwickler des Mail Transfer Agents (MTA) Exim haben Patches zur Verfügung gestellt, um zwei Schwachstellen zu beseitigen, die während der Weihnachtsfeiertage entdeckt wurden. Der erste Fehler findet sich in der Funktion host_aton(). IPv6-Adressen mit mehr als acht Komponenten provozieren einen Buffer Overflow. Ob sich die Schwachstelle zum Einschleusen von Code eignet, ist nicht geklärt. Ohnehin ließe sie sich nur durch einen Angreifer ausnutzen, der auf dem System ein gültiges Nutzerkonto hat.

Das zweite Problem beruht auf einem Pufferüberlauf in der Funktion spa_base64_to_bits(), die Exim zur Authentifizierung von Clients mittels Secure Password Authentication (SPA) benutzt. Laut Advisory stammen Teile dieses Codes aus dem Samba-Projekt. Wie beim ersten Fehler ist die Tragweite noch nicht geklärt. Voraussetzung ist aber, dass ein Exim-Server SPA anbietet. Der Autor des Fehlerberichts schätzt das Risiko der Lücken aber als ziemlich gering ein. In beiden Fällen ist Version 4.43 und vorhergehende betroffen.

Die Entwickler verweisen zusätzlich zum Patch noch auf den aktuellen Snapshot, indem neben den beiden Schwachstellen noch weitere Fehler beseitigt und andere Verbesserungen vorgenommen wurden.

Quelle : www.heise.de

[SiLæncer]

Die Mailserver-Software MailEnable enthält zwei Sicherheitslücken, über die ein Angreifer die Kontrolle über das System übernehmen kann. Fehler Nummer eins findet sich im HTTPMail-Connector (Port 8080) und beruht auf einem Buffer Overflow, der das Einschleusen und Ausführen von Code ermöglicht. Der zweite Fehler tritt im IMAP- und SMTP-Dienst auf und lässt sich ebenfalls zum Einschleusen eigener Programme ausnutzen. Nähere Informationen hierzu sind jedoch nicht verfügbar. Für die erste Schwachstelle gibt es bereits einen Exploit.

Betroffen sind die Enterprise-Version 1.04 und vorhergehende sowie die Professional-Version 1.54 und vorhergehende. Der Hersteller hat für den Connector einen Hotfix bereitgestellt. Die Lücke im IMAP/SMTP-Dienst schließt ein weiterer Hotfix.

Quelle und Links : http://www.heise.de/security/news/meldung/58970

[SiLæncer]

Die Secure Computer Group der University of A Coruna und die Information Technologies Research Labs haben mehrere Schwachstellen in Kerios Firewall und MailServer entdeckt. Sie erlauben es, Dienste über das Netz lahmzulegen (DoS) und eventuell sogar Passwörter durch Ausprobieren zu erraten. Der Hersteller Kerio Technologies empfiehlt deshalb Updates für seine Produkte WinRoute Firewall, Personal Firewall und MailServer einzuspielen.

Betroffen sind die Programmversionen:

    * WinRoute Firewall 6 bis einschließlich Version 6.0.10
    * Personal Firewall 4 bis einschließlich Version 4.1.2
    * MailServer 6 bis einschließlich Version 6.0.8

Alle drei Produktversionen sind anfällig gegen Attacken auf ihren Administrator-Ports (44333, 44334, 44337), wodurch sich durch das Einschleusen bestimmter Befehlssequenzen ein Denial-of-Service herbeiführen lässt. Der MailServer soll empfindlich sein gegen Brute-Force-Angriffe zum Ausspähen des Administratorpasswortes, sofern mindestens ein Nutzer-Passwort bekannt ist.

Updates sind bereits verfügbar: Version 6.0.11 der WinRoute Firewall, Version 4.1.3 der Personal Firewall und Version 6.0.9 des MailServer.

Quelle und Links : http://www.heise.de/security/news/meldung/59184

[SiLæncer]

Der Sicherheitsdienstleister Secunia hat in der Mailserver-Software Mailenable Professional 1.6 und frühere sowie MailEnable Enterprise 1.1 und frühere zwei Schwachstellen entdeckt. So lässt sich im IMAP-Server (MEIMAP.EXE) bei Angabe zu langer Mailbox-Namen in Zusammenhang mit den Befehlen select, create, delete, rename, subscribe und unsubscribe einen Pufferüberlauf provozieren. Ein Angreifer kann damit eigenen Code in das System einschleusen und mit den Rechten des Mailservers ausführen.

Durch Angabe bestimmter Mailbox-Namen ist zudem Directory Traversing möglich, durch das sich auf dem Server Verzeichnisse an beliebigen Orten erzeugen und umbenennen lassen. Ein Angreifer kann durch das Umbenennen den Zugriff anderer Anwender auf ihre Mailboxen verhindern. Der Hersteller stellt einen Hotfix zur Verfügung. In Version 1.7 sind die Fehler ebenfalls beseitigt.

Siehe dazu auch:

    * MailEnable Buffer Overflow and Directory Traversal Vulnerabilities Fehlerreport von Secunia

Quelle und Links : http://www.heise.de/security/news/meldung/66448

[SiLæncer]

Wieder muss der Hersteller des Mailservers MailEnable ein Update nachlegen, um insgesamt drei Schwachstellen in seiner Software zu beseitigen. So lassen sich mit zu langen Argumenten der Befehle EXAMINE und SELECT Buffer Overflows provozieren, mit denen sich nach Angaben des Dienstleisters Secunia Code in den IMAP-Server (MEIMAPS.EXE) schmuggeln und ausführen lassen können. Allerdings ist dazu eine vorherige Anmeldung am Server erforderlich.

Die dritte Lücke führt nur zum Crash des Server; dies tritt auf, wenn das Argument des DELETE-Befehls nur aus sehr vielen Sternchen oder Fragezeichen besteht. Auch hier muss ein Angreifer bereits am Server angemeldet sein. Betroffen sind laut Secunia MailEnable Professional Edition Version 2.32 sowie 1.6-1.83 Professional Edition, 1.1-1.40 Enterprise Edition, 2.0-2.33 Professional Edition und 2.0-2.33 Enterprise Edition.

Siehe dazu auch:

    * MailEnable IMAP Service Two Vulnerabilities, Fehlerbericht von Secunia

Quelle und Links : http://www.heise.de/security/news/meldung/81856

[SiLæncer]

In dem Anti-Spam-Modul policyd des Mailservers Postfix wurde eine Schwachstelle entdeckt, die Angreifern unter Umständen erlaubt, übers Netz den E-Mail-Dienst lahmzulegen oder möglicherweise sogar die Kontrolle über den Server zu erlangen. Aus dem CVE-Eintrag der Schwachstelle geht hervor, dass eine unzureichende Längenprüfung in der Funktion w_read() für eingehende SMTP-Kommandos zu einem Pufferüberlauf führen kann, über den sich beliebiger Schadcode einschleusen lässt.

Alle Vorgängerversionen der jüngst erschienen Version 1.81 sollen von dem Problem betroffen sein. Der policyd-Entwickler Cami Sardinha weist in einem Posting auf der policyd-Mailingliste allerdings darauf hin, dass Default-Installationen nicht von dem Problem betroffen seien, weitere Details nennt er jedoch nicht.

Allerdings warnt nun auch das CERT-Bund des BSI mit einem Advisory vor der Schwachstelle. Mailmaster, die postfix-policyd einsetzen, sollten daher ihre Installation umgehend auf den neuesten Stand bringen. Im Paketsystem der Linux-Distribution Debian beispielweise sind bereits gepatchte 1.80er-Versionen verfügbar.

Derzeit ist noch unklar, ob die Schwachstelle in Verbindung mit den Performance-Problemen steht, von denen einige Mailmaster auf einer öffentlichen Postfix-Mailinglisten berichten. Symptomatisch sei eine seit dieser Woche ansteigende Zahl von Maillog-Einträgen, die mit "lost connection" beginnen, und eine damit einhergehenden Anzahl hängender smtpd-Prozesse. Insbesondere auf stark frequentierten Servern kann dies dazu führen, dass keine freien smtpd-Prozesse mehr zur Verfügung stehen, um neue eingehende Mail-Verbindungen anzunehmen – Timeouts und massive Verzögerungen im Mailverkehr können die Folge sein.

Der Postfix-Spezialist Ralf Ralf Hildebrandt, seines Zeichens Mail-Admin der Berliner Charité, äußerte gegenüber heise Security die Vermutung, dass es sich um ein "amoklaufendes Botnetz" handeln könnte. Seine Analyse hat ergeben, dass die vornehmlich aus DSL-Netzen eingehenden Problem-Verbindungen nicht SMTP-konform ablaufen: Lehnt der Mailserver beispielsweise eine Mail mit unbekanntem Empfänger ab, trennt die Gegenstelle die Verbindung abrupt die TCP-Verbindung, ohne die SMTP-Sitzung ordnungsgemäß zu beenden.

Der hauptverantwortliche Postfix-Entwickler Wietse Venema empfiehlt bei vielen hängenden smtpd-Prozessen, die Zahl der vorgehaltenen Prozesse zu erhöhen und mit kurzen Timeouts und weniger Filtern zusätzlich dafür zu sorgen, dass SMTP-Verbindungen möglichst schnell abgewickelt werden.

Siehe dazu auch:

    * policyd Release-Notes zur neuen Version 1.81
    * CVE-2007-3791, Fehlerdatenbankeintrag zur policyd-Schwachstelle
    * lots of "lost connection after" : need help with optimization, Bericht zu Postfix-Performace-Problemen

Quelle und Links : http://www.heise.de/security/news/meldung/95275/Postfix-Mailserver-unter-Beschuss

[SiLæncer]

Eine Reihe vietnamesischer Spam-Quellen fällt derzeit dadurch auf, dass die Täter die betreffenden Hosts mit DNS-Pointer-Records namens "localhost" ausgestattet haben. IP-Adressen wie 123.27.3.81, 222.252.80.188 oder 123.16.13.188 lösen somit "rückwärts" zu diesem Namen auf. Eigentlich handelt es sich dabei um eine Fehlkonfiguration des Domain Name System, da die normale Namensauflösung von localhost stets zur IP-Adresse 127.0.0.1 führt – eben derjenigen, die für das lokale System reserviert ist.

Manche Mailserver sind so konfiguriert, dass sie E-Mails von Clients mit derart unsauberer Namenskonfiguration gar nicht erst annehmen. Gerade den Namen "localhost" behandeln einige jedoch bevorzugt und räumen den fernöstlichen Clients ein besonderes Recht ein: Das "Relaying" von E-Mails an beliebige Empfängeradressen, auch außerhalb des eigenen Netzes, denn "localhost" befindet sich ja scheinbar im eigenen Netz.

Wer einen Mailserver betreibt, muss unbedingt sicherstellen, dass dieser Trick nicht funktioniert, etwa indem er Relaying wirklich nur von lokalen IP-Adressen aus erlaubt und nicht anhand von DNS-Namen. Übliche Open-Relay-Tests schlagen in diesem Fall keinen Alarm, da der Test-Client in der Regel eben nicht "localhost" heißt. Mehrere anfällige Mailserver sind bereits auf der iX-Blacklist erschienen. Neben Blacklistings drohen den Besitzern offener Relays Schadenersatzansprüche von Spam- oder Malware-Empfängern.

Quelle : www.heise.de

[SiLæncer]

Einem Posting auf der Entwickler-Mailingliste für den MTA Exim zufolge gibt es zumindest in den Debian-Paketen vermutlich eine Lücke, mit der Angreifer aus der Ferne die Kontrolle über einen Server erlangen können. Laut der ersten Untersuchungen des Admins Sergey Kononenko, in dessen Netzwerk Unbekannte über die Lücke offenbar eingedrungen sind, könnte ein Fehler bei der Verarbeitung bestimmer Header (HeaderX) in Mails die Ursache sein.

Mit präparierten Mails gelang es den Eindringlingen, eine Shell zu starten und weitere Dateien auf dem Server anzulegen. Da Exim in der Regel auf SUID Root gesetzt ist, konnten die Angreifer mit weiteren Tricks an Root-Rechte gelangen.

Kononenko betrieb allerdings nicht die offizielle Version des Exim-Dienstes, sondern die unter Debian Lenny verfügbare abgespeckte Version exim4-daemon-light 4.69-9. Zumindest das Erlangen der Root-Rechte will Kononenko auch unter Debian Squeeze mit exim4-daemon-light 4.72-2 nachvollzogen haben. Ob die eigentliche Schwachstelle dort auch vorhanden ist, hat er nicht getestet. Ob auch die Pakete anderer Distributionen betroffen sind, ist noch unklar.

Weitere Informationen zur Lücke und zum Angriff will Kononenko vorerst nicht preisgeben, bis die Entwickler das Problem untersucht haben. Allerdings hat er sich beim Finden der Mailadresse des Exim-Maintainers wohl schwergetan, weshalb er seine Informationen auf der Exim-Entwicklerliste veröffentlicht hat.

Als Workaround könnte es helfen, Exim im unprivilegierten Modus laufen zu lassen. Ein Anleitung dazu hält die offizielle Doku vor: Running Exim without privilege. Allerdings funktioniert das nicht mit allen Konfigurationen.

Quelle : www.heise.de

[SiLæncer]

Weiteren Analysen zufolge handelt es sich bei der Lücke offenbar um einen Fehler in der Funktion string_format(), durch den sich mit präparierten Zeichenketten Daten in nicht belegten Speicher schreiben lassen. Der Fehler wurde bereits mit Exim 4.70 behoben. Weil er aber als nicht sicherheitsrelevant gekennzeichnet wurde, hat beispielsweise Debian den Fehler in den Lenny-Paketen noch nicht behoben. Debian-Anwender können zur Lösung des Problems exim4-daemon-light 4.72 aus dem Backports-Repository installieren.

Quelle : www.heise.de

[SiLæncer]

Vier Tage nach der Entdeckung einer Sicherheitslücke im freien Mail-Server Exim haben die Entwickler von Debian und Red Hat eine korrigierte Version für ihre Linux-Distributionen bereitgestellt. Debians neuer Exim enthält Fixes für einen Speicherfehler, der das Ausführen beliebigen Codes als Exim-User erlaubt. Er bietet noch keinen Schutz gegen eine weitere Lücke, durch die der Exim-User Root-Rechte erlangen kann. Hier wollen die Entwickler zunächst "Kompatibilitätsfragen" klären und dann so schnell wie möglich ein Update veröffentlichen. Die von Red Hat bereitgestellte Exim-Variante versperrt auch den Root-Zugang.

In den Exim-Quellen ist der Fehler seit Ende 2008 mit Version 4.70 behoben. Die Korrektur war jedoch nicht als sicherheitsrelevant gekennzeichnet, weshalb sie nicht in ältere Versionen einfloss. Debian nutzt für seine stabile Distribution Lenny noch Exim 4.69, bei Red Hat ist es 4.43.

Quelle und Links : http://www.heise.de/newsticker/meldung/Debian-und-Red-Hat-schliessen-Exim-Luecke-1151620.html

[SiLæncer]

Eine fehlende Format-Angabe in der Log-Funktion des freien Mail Transfer Agent (MTA) Exim hätte nach Angaben der Entwickler Angreifern die Möglichkeit geboten, beliebigen Code auf dem Server auszuführen. Die betroffene Code-Zeile schrieb eine Zeichenkette direkt in die Log-Datei. Angreifer hätten dies durch Einstreuen von speziellen Formatierungsanweisungen in den String ausnutzen können, um eigenen Code einzuschleusen und mit den Rechten des Mail-Servers auszuführen.

Der Bug steckte in der Funktion dkim_exim_verify_finish(), die DKIM-Informationen (DomainKeys Identified Mail) eintreffender Nachrichten behandelt. Betroffen sind alle Versionen vor 4.76 RC1. Wer den Mail-Server Exim einsetzt, der unter anderem bei Debian- und Ubuntu-Linux der Default-MTA ist, sollte seine Installation auf diese Version aktualisieren. Alternativ lässt sich der Patch auch auf die Quellen der Version 4.75 anwenden.

Quelle : www.heise.de