OpenSMTPD远程代码执行误差危害通告

宣布时间 2020-02-26

误差编号和级别


CVE编号：CVE-2020-8794，，，，，，危险级别：严重，，，，，，CVSS分值：官方未评定


影响版本


OpenSMTPD小于6.6.4p1版本


误差概述


OpenBSD是加拿大OpenBSD项目组的一套跨平台的、基于BSD的类UNIX操作系统 。 。 。OpenSMTPD是OpenBSD团队开发的一个免费的效劳器端SMTP协议实现，，，，，，通过RFC5321界说，，，，，，也是OpenBSD项目的一部分 。 。 。


清静研究职员在邮件效劳器OpenSMTPD中发明一个新的严重误差（CVE-2020-8794），，，，，，攻击者可以远程使用该误差以root用户身份运行Shell下令 。 。 。OpenSMTPD应用在多个基于Unix的系统上，，，，，，包括FreeBSD、NetBSD、macOS、Linux（Alpine、Arch、Debian、Fedora、CentOS） 。 。 。


该误差影响了OpenSMTPD的默认装置，，，，，，研究职员指出该问题是在2015年12月引入的，，，，，，但只有在2018年5月之后宣布的OpenSMTPD版本上才可以使用它以root特权执行代码 。 。 。在以前的版本中，，，，，，shell下令可以作为非root下令运行 。 。 。


误差验证


研究职员称将于2月26日宣布PoC，，，，，，并且已经在目今的OpenBSD6.6、OpenBSD5.9、Debian10、Debian11和Fedora31上乐成测试，，，，，， 。 。 。


修复建议


OpenSMTPD 6.6.4p1中已经修复了该误差，，，，，，建议用户尽快装置更新：https://www.mail-archive.com/misc@opensmtpd.org/msg04888.html 。 。 。


参考链接


https://www.bleepingcomputer.com/news/security/new-critical-rce-bug-in-openbsd-smtp-server-threatens-linux-distros/