CVE-2025-26794: Exim-ETRN-SQL-Injection-Exploit

Ein Proof-of-Concept-Exploit-Tool für CVE-2025-26794, das die SQL-Injection-Schwachstelle im Exim-4.98-Mailserver über den ETRN-Befehl bei Verwendung von SQLite-DBM-Speicher demonstriert.

⚠️ Rechtlicher Hinweis

NUR FÜR AUTORISIERTE SICHERHEITSTESTS

Dieses Tool dient ausschließlich Bildungszwecken und autorisierten Penetrationstests. Unbefugter Zugriff auf Computersysteme ist nach verschiedenen Gesetzen illegal, darunter:

• Computer Fraud and Abuse Act (CFAA) in den Vereinigten Staaten
• Computer Misuse Act im Vereinigten Königreich
• Vergleichbare Gesetzgebung in anderen Rechtsordnungen

Sie müssen eine ausdrückliche schriftliche Genehmigung haben, bevor Sie ein System testen, das Ihnen nicht gehört.

Die Autoren und Mitwirkenden übernehmen keine Haftung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden.

📋 Überblick über die Schwachstelle

CVE-2025-26794 ist eine SQL-Injection-Schwachstelle in Exim 4.98, die auftritt, wenn:

• Exim mit SQLite-DBM-Speicher konfiguriert ist
• Der ETRN-Befehls-Handler serialisierte Daten verarbeitet
• Benutzergesteuerte Eingaben vor der Erstellung der SQL-Abfrage unzureichend bereinigt werden

Diese Schwachstelle ermöglicht Angreifern:

• Sensible Daten aus der Mailserver-Datenbank zu extrahieren
• Zeitbasierte Blind-SQL-Injection-Angriffe durchzuführen
• Die Datenbankstruktur aufzuzählen (Tabellen, Spalten, Daten)

Betroffene Versionen

• Exim 4.98 mit SQLite-DBM-Konfiguration

Angriffsvektor

• Netzwerkzugänglicher SMTP-Dienst (typischerweise Port 25)
• Keine Authentifizierung erforderlich (ETRN-Befehl vor der Authentifizierung verfügbar)

🚀 Funktionen

• Schwachstellentest: Automatisierte Prüfung, ob das Ziel verwundbar ist
• Zeitbasierte Blind-SQLi: Nutzt SQLite-Zeitverzögerungstechniken zur Datenextraktion
• Binärsuche-Optimierung: Effiziente zeichenweise Extraktion
• Automatisierter Datenbank-Dump: Extrahiert Tabellen, Spalten und Beispieldaten
• Interaktiver Modus: Führen Sie benutzerdefinierte SQL-Abfragen interaktiv aus
• Multi-Modus-Betrieb: Flexible Extraktionsstrategien

📦 Installation

Anforderungen

• Python 3.6 oder höher
• Netzwerkzugriff auf den Ziel-SMTP-Server

Einrichtung

# Clone the repository
git clone https://github.com/XploitGh0st/CVE-2025-26794-exploit.git
cd CVE-2025-26794-exploit

# Install dependencies (none required - uses standard library only)
pip install -r requirements.txt

# Make script executable (Linux/Mac)
chmod +x exploit.py

💻 Verwendung

Grundsyntax

python3 exploit.py <target> [options]

Kurzbeispiele

1. Testen, ob das Ziel verwundbar ist

python3 exploit.py 192.168.1.10 --test-only

2. Automatisierter Datenbank-Dump

python3 exploit.py mail.example.com --auto-dump

3. Interaktiver SQL-Abfragemodus

python3 exploit.py 10.0.0.5 --interactive

4. Spezifische Tabellenstruktur extrahieren

python3 exploit.py 192.168.1.10 --table users --columns

5. Benutzerdefinierte SQL-Abfrage ausführen

python3 exploit.py 192.168.1.10 --query "SELECT sqlite_version()"

Befehlszeilenoptionen

🔍 So funktioniert es

Angriffsablauf

1. Verbindung: Stellt eine SMTP-Verbindung zum Zielserver her
2. Basislinienmessung: Sendet einen normalen ETRN-Befehl, um die Antwortzeit zu messen
3. Injection-Test: Sendet eine SQL-Payload mit Zeitverzögerung, um die Schwachstelle zu bestätigen
4. Datenextraktion: Verwendet Binärsuche mit zeitbasierter Blind-SQLi, um Daten zeichenweise zu extrahieren

Struktur der SQL-Injection-Payload

ETRN #',1); <MALICIOUS_QUERY> /*

Die Payload nutzt die unsachgemäße Bereinigung im ETRN-Serialisierungs-Handler aus und ermöglicht eine SQL-Injection in SQLite-Abfragen.

Zeitbasierte Erkennung

Verwendet eine SQLite-spezifische Zeitverzögerung:

SELECT 1 FROM tbl WHERE 1234=LIKE('ABCDEFG',UPPER(HEX(RANDOMBLOB(500000000/2))))

Dies erzeugt eine messbare Verzögerung (~1–2 Sekunden), wenn die Bedingung wahr ist.

📊 Beispielausgabe

╔═══════════════════════════════════════════════════════════╗
║     CVE-2025-26794: Exim SQLi Data Extraction Tool        ║
║                  FOR AUTHORIZED USE ONLY                  ║
╚═══════════════════════════════════════════════════════════╝

[*] Testing vulnerability...
[+] Normal response time: 0.123s
[+] Delayed response time: 1.456s
[!!!] VULNERABLE - Time difference: 1.333s

[*] Extracting table names...
[*] Extracting table 1...
[+] Extracted: users
[+] Found table: users

[*] Extracting columns from table 'users'...
[+] Found column: id
[+] Found column: username
[+] Found column: email

🛡️ Gegenmaßnahmen

Wenn Sie Exim 4.98 mit SQLite-DBM ausführen:

1. Exim aktualisieren: Upgrade auf die gepatchte Version (4.98.1 oder später)
2. Eingabevalidierung: Strikte Validierung des ETRN-Befehls implementieren
3. Parametrisierte Abfragen: Prepared Statements für alle Datenbankoperationen verwenden
4. Firewall-Regeln: SMTP-Zugriff auf vertrauenswürdige Netzwerke beschränken
5. ETRN deaktivieren: Falls nicht benötigt, den ETRN-Befehl in der Exim-Konfiguration deaktivieren

🔧 Technische Details

Binärsuchalgorithmus

Der Exploit verwendet Binärsuche, um Zeichen effizient zu extrahieren:

• Druckbarer ASCII-Bereich: 32–126
• Durchschnittliche Abfragen pro Zeichen: ~7 (log₂ 94)
• Optimiert für minimalen Netzwerkverkehr

Verwendete SQLite-Funktionen

• unicode(): ASCII-Wert eines Zeichens ermitteln
• substr(): Teilstring aus dem Ergebnis extrahieren
• sqlite_master: Systemtabelle zur Schema-Aufzählung
• pragma_table_info(): Extraktion von Spaltenmetadaten

📚 Referenzen

• CVE-Details: CVE-2025-26794
• Exim-Sicherheitsempfehlung: [Offizielle Exim-Empfehlung]
• OWASP SQL Injection: OWASP-Leitfaden

🤝 Mitwirken

Beiträge sind willkommen für:

• Leistungsoptimierungen
• Zusätzliche Extraktionstechniken
• Methoden zur Erkennungsumgehung
• Fehlerbehebungen und Verbesserungen

Bitte stellen Sie sicher, dass alle Beiträge Folgendes enthalten:

• Klare Dokumentation
• Richtlinien zur verantwortungsvollen Offenlegung
• Warnhinweise zur legalen Nutzung

📝 Lizenz

Dieses Projekt wird ausschließlich zu Bildungszwecken veröffentlicht. Verwenden Sie es verantwortungsvoll und legal.

👤 Autor

XploitGh0st

• GitHub: @XploitGh0st

🙏 Danksagungen

• Exim-Entwicklungsteam für die verantwortungsvolle Behandlung der Schwachstelle
• Sicherheitsforschungsgemeinschaft
• Forscher der SQLite-Technik der zeitbasierten Injection

⚖️ Verantwortungsvolle Offenlegung

Wenn Sie mit diesem Tool Schwachstellen entdecken:

1. Details nicht sofort öffentlich preisgeben
2. Den Anbieter/Maintainer privat kontaktieren
3. Angemessene Zeit für das Patchen einräumen (in der Regel 90 Tage)
4. Richtlinien zur koordinierten Offenlegung befolgen

Denken Sie daran: Mit großer Macht kommt große Verantwortung. Nutzen Sie dieses Tool ethisch und legal.