S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 02 octobre 2023
N° CERTFR-2023-ALE-010
Affaire suivie par: CERT-FR
le 02 octobre 2023

Bulletin d'alerte du CERT-FR

Objet: Multiples vulnérabilités dans Exim

Gestion du document

Référence CERTFR-2023-ALE-010
Titre Multiples vulnérabilités dans Exim
Date de la première version 02 octobre 2023
Date de la dernière version 16 février 2024
Source(s) Bulletin de sécurité ZDI 23-1468 du 27 septembre 2023
Bulletin de sécurité ZDI 23-1469 du 27 septembre 2023
Bulletin de sécurité ZDI 23-1470 du 27 septembre 2023
Bulletin de sécurité ZDI 23-1471 du 27 septembre 2023
Bulletin de sécurité ZDI 23-1472 du 27 septembre 2023
Bulletin de sécurité ZDI 23-1473 du 27 septembre 2023
Bulletin de sécurité Exim du 01 octobre 2023
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque(s)

  • Contournement de la politique de sécurité
  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Exécution de code arbitraire à distance

Systèmes affectés

  • Exim versions antérieures à 4.96.1 ou 4.97

Résumé

Le 27 septembre 2023, Zero Day Initiative (ZDI) a publié six avis de sécurité [1] concernant des vulnérabilités de type zéro-jour affectant les versions antérieures à 4.96.1 ou 4.97 de l'agent de transfert de courriels (Mail Transfer Agent ou MTA) Exim. Le 1er octobre 2023, l'éditeur a publié un avis de sécurité [2] contenant les détails des six vulnérabilités découvertes par ZDI.

L'éditeur annonce dans son bulletin du 1er octobre 2023 la correction, dans les versions 4.96.1 et 4.97 d'Exim, de trois vulnérabilités affectant la gestion de l'authentification :

  • Les vulnérabilités identifiées CVE-2023-42114 et CVE-2023-42116 ayant respectivement un score CVSSv3 de 3.7 et 8.1 sont présentes dans le sous-système SPA/NTLM. Ce dernier introduit une faiblesse dans la validation des entrées utilisateurs lors du traitement des demandes de défis (challenges) NTLM. Un attaquant distant est en mesure de provoquer une atteinte à la confidentialité des données et une exécution de code arbitraire ;
  • La vulnérabilité CVE-2023-42115, avec un score CVSSv3 de 9.8, est liée à l'implémentation du mécanisme EXTERNAL de la couche d'authentification et de sécurité simple (Simple Authentication and Security Layer ou SASL). Un manque de validation des données fournies par l'utilisateur permet à un attaquant distant de tenter une exécution de code arbitraire.

Cependant, à la date de publication initiale de cette alerte, l'éditeur ne propose pas de correctif pour les trois vulnérabilités suivantes :

  • La vulnérabilité CVE-2023-42117 ayant un score CVSSv3 de 8.1 est liée à la gestion du protocole PROXY. Un manque de validation des données soumises par l'utilisateur peut permettre à un attaquant distant de compromettre l'intégrité des données en mémoire et de tenter une exécution de code arbitraire.
  • La vulnérabilité identifiée CVE-2023-42118 a un score CVSSv3 de 7.5. Un attaquant adjacent au réseau peut tenter une exécution de code arbitraire vers les versions affectées de la bibliothèque libspf2 incluse dans Exim.
  • Enfin, la vulnérabilité dont le numéro d'identification est CVE-2023-42119 est référencée avec un score CVSSv3 de 3.1. Elle est introduite par le sous-système de recherches DNS : un manque de validation des données fournies par l'utilisateur peut entraîner une lecture au-delà du tampon alloué. Un attaquant adjacent au réseau peut alors, en conjonction avec d'autres vulnérabilités, tenter une exécution de code arbitraire dans le contexte du compte de service.

 

Contournement provisoire

L'éditeur ne propose pas de correctif pour les trois vulnérabilités CVE-2023-42117, CVE-2023-42118 et CVE-2023-42119. Les mesures de contournement proposées consistent à :

  • Pour CVE-2023-42117 : recourir à un relai (proxy) de confiance utilisant le protocole PROXY ;
  • Pour CVE-2023-42118 : ne pas utiliser de macro spf dans les directives de configuration définissant les listes de contrôles d'accès (Access Control Lists ou ACL) ;
  • Pour CVE-2023-42119 : utiliser un résolveur DNS de confiance, étant en mesure de valider les données en fonction des types d'enregistrements DNS. Cependant, la description du contournement proposé par l'éditeur ne permet pas de proposer un produit répondant à cette exigence.

Solution

Le CERT-FR incite fortement à mettre à jour Exim à la dernière version 4.96.1 ou 4.97 afin de corriger les vulnérabilités CVE-2023-42114, CVE-2023-42115 et CVE-2023-42116 dès la disponibilité des sources ou des paquets par l'éditeur ou les distributions Linux.

L'installation des correctifs pour les autres vulnérabilités devra être réalisée dès leur disponibilité.

Se référer au bulletin de sécurité de l'éditeur ou des distributions Linux pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 02 octobre 2023
    Version initiale
    le 16 février 2024
    Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.