Der Sendmail Overflow-Bug – eine vollständige Analyse

Sendmail ist für die Verarbeitung von mehr als der Hälfte der im Internet kursierenden E-Mails verantwortlich.
(CERT Advisory CA-2003-07)

Details
Obgleich es bereits früher Hinweise auf diese Sicherheitslücke gab, war es die polnische Gruppe „ethischer Hacker“ mit dem Namen Last Stage of Delirium, die als erstes einen Proof-of-Concept für diese Sicherheitslücke veröffentlichte und zeigte, wie sie für einen Angriff eingesetzt werden konnte. Den Angaben dieser Gruppe zufolge liegt das Problem in der Funktion crackaddr(char* addr) der Datei headers.c, wobei es sich um einen Sicherheitsmechanismus handelt.

Der ursprüngliche Bericht über diese Sicherheitslücke kam von Internet Security Systems (ISS), die darauf hinwies, dass ein Angreifer in einen Sendmail-Server eindringen konnte, indem er einfach eine speziell erstellte E-Mail an diesen Server sandte. Das Ergebnis war Remote-Zugriff als Root- oder Superuser auf jeden verwundbaren Server, und zwar selbst ohne dass der Hacker spezifische Kenntnis über die auf diesem Server laufende Software hatte.

ZDNet UK berichtete über den Sendmail-Bug. Der Schöpfer von Sendmail, Eric Allman, kritisierte die Taktik der LSD-Gruppe, eine funktionierende Möglichkeit zur Nutzbarmachung zu veröffentlichen. Ein früheres Problem mit Sendmail wurde bereits im Oktober gemeldet.

Laut ISS-Hinweis hat diese Bedrohung mit der Art und Weise zu tun, auf die Sendmail die E-Mail-Felder „To“, „From“ und „CC“ überprüft. Zur Speicherung dieser Felder wird ein statischer Puffer verwendet. Das Problem tritt an einem der zahlreichen Sicherheits-Features auf, mit denen sichergestellt werden soll, dass die Daten korrekt analysiert werden, wenn der Pufferspeicher voll ist.

ISS berichtet, dass „bewiesen wurde, dass diese Sicherheitslücke unter realen Bedingungen ausnutzbar ist“. Das Unternehmen gibt weiterhin an, x86-Systeme auf die Sicherheitslücke überprüft und sie in ausnutzbarem Zustand vorgefunden zu haben, sagt aber, dass auch andere Arten von Systemen gefährdet sein könnten.

In ihrem Proof-of-Concept gab die Gruppe Last Stage of Delirium ausdrücklich an, dass es weitere unentdeckte Sicherheitslücken geben könnte, von denen sie bisher nichts weiß, fügte aber auch hinzu, dass möglicherweise viele Systeme nicht durch ein Ausnutzen dieser Sicherheitslücke verwundbar sind.

Risikostufe – kritisch
Obwohl momentan darüber diskutiert wird, wie viele Systeme überhaupt durch diesen Bug angegriffen werden können (siehe „Geringere Gefährdung“ weiter unten), ist es doch sicher, dass die Sendmail-Sicherheitslücke auf einer großen Anzahl von Installationen vorhanden ist und dass es keine gute Idee wäre, die verwundbare Version auf den Servern zu belassen, so lange die Diskussion noch zu keinem Ergebnis gekommen ist. Es gibt keine Diskussion bezüglich der Frage, ob diese Sicherheitslücke das Potenzial zu ernsthaften Schäden hat – nur darum, ob sie auf allen oder nur auf wenigen Systemen leicht ausgenutzt werden kann.

Anwendbarkeit
Das CERT-Advisory listet spezifisch die folgenden Versionen als verwundbar auf:

• Sendmail Pro (alle Versionen)
• Sendmail Switch 2.1 vor Version 2.1.5
• Sendmail Switch 2.2 vor Version 2.2.5
• Sendmail Switch 3.0 vor Version 3.0.3
• Sendmail for NT 2.x vor Version 2.6.2
• Sendmail for NT 3.x vor Version 3.0.3
• Open-Source Sendmail-Versionen vor Version 8.12.9 (einschließlich der Unix- und Linux-Versionen).

Um potenziell verwundbare Systeme leichter identifizieren zu können, hat ISS die folgenden Überprüfungsmechanismen bereit gestellt:

• Internet Scanner XPU 6.24 (MtaDiscovery – Erkennung eines laufenden Message Transfer Agents)
• Internet Scanner XPU 6.26 (SendmailRunning – Erkennung einer laufenden Sendmail-Instanz)
• System Scanner SR 3.13 (Sendmail-Header-Processing-BO – Pufferüberlauf bei der Header-Verarbeitung in Sendmail)