Millionen von Exim-Mailservern sind anfällig für Zero-Day-RCE-Angriffe
In der Mitteilung der ZDI heißt es, dass das Problem durch die fehlende Validierung der vom Benutzer eingegebenen Daten entstehe, was dazu führen könne, dass ein Schreibvorgang über das Ende des Puffers hinausgeht. Das könnten Angreifer ausnutzen, um Code oder Befehle auszuführen.
Bereits im Juni des vergangenen Jahres meldete das ZDI die Schwachstelle an Exim und übermittelte im Mai dieses Jahres auf Anfrage weitere Informationen über den Angriffsvektor an den Hersteller. Ein Patch, der die Mailserver absichert, fehlt indes auch weiterhin, genau wie ein Zeitplan, wann dieser verfügbar sein könnte. Daher veröffentlichte das ZDI Ende September ein Advisory mit den Details zu Zero-Day CVE-2023-42115. Auch eine Übersicht über die bisherige Kommunikation mit Exim ist darin enthalten.
Es bleibt zu hoffen, dass die Veröffentlichung Exim unter Druck setzt und dadurch zeitnah zumindest ein Zeitplan vorgelegt wird, wann mit einem Patch zu rechnen ist, denn MTA-Server wie Exim zählen zu den besonders attraktiven Zielen für einen Angriff. Das liegt einerseits daran, dass sie über das Internet leicht zugänglich sind und andererseits Cyberkriminellen einen guten Zugang zu den Netzwerken des Ziels bieten.
Bereits im März 2020 stellte die amerikanische NSA fest, dass die berüchtigte russische Hackergruppe Sandworm seit mindestens August 2019 die kritische Exim-Schwachstelle CVE-2019-10149 (The Return of the WIZard) ausnutzt. Exim ist außerdem der Standard-MTA in Debian-Linux-Distributionen und die weltweit beliebteste MTA-Software, wie eine Mailserver-Umfrage von Anfang September 2023 ergab. Demnach ist Exim auf mehr als 56 Prozent der insgesamt 602.000 im Internet erreichbaren Mailserver installiert, was knapp über 342.000 Exim-Servern entspricht. Laut einer Shodan-Suche sind derzeit über 3,5 Millionen Exim-Server online, die meisten davon in den Vereinigten Staaten, gefolgt von Russland und Deutschland.
Obwohl noch kein Patch zur Verfügung steht, um anfällige Exim-Server gegen potenzielle Angriffe zu schützen, rät das ZDI allen Administratoren, den Fernzugriff aus dem Internet zu beschränken, um eingehende Angriffsversuche zu vereiteln.
Über die 8com GmbH & Co. KG
Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach. Verschiedene Penetrationstests und Security-Awareness-Leistungen runden das Angebot ab.
8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 18 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.
8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Head of Communications
Telefon: +49 6321 484460
E-Mail: redaktion@8com.de
