Sophos è vulnerabile ad una delle 6 CVE emesse su Exim. Si tratta di una Remote Code Execution

Zero Day Initiative ha rivelato un totale di sei vulnerabilità zero-day nell’Exim Internet Mailer, che potenzialmente rendono migliaia di server di posta elettronica in tutto il mondo vulnerabili allo sfruttamento.

Secondo l’ultimo sondaggio, Exim, un software MTA (mail transfer agent) gratuito ampiamente utilizzato su sistemi operativi simili a Unix, vanta attualmente oltre 342.000 server in tutto il mondo. 

Exim è già stata vittima di numerosi attacchi a causa delle sue vulnerabilità. Nel 2020, i ricercatori hanno rivelato che gli autori delle minacce russe del GRU, il “Sandworm Team”, avevano sfruttato attivamente una vulnerabilità (il CVE-2019-10149) in Exim dal 2019 per compromettere le reti governative statunitensi. Inoltre, nell’agosto 2022, i ricercatori hanno segnalato due vulnerabilità critiche in Exim, complete di exploit Proof-of-Concept (PoC).

È molto probabile che anche gli autori delle minacce tenteranno di sfruttare queste recenti vulnerabilità Exim. Nello specifico, una tra queste CVE (ed un’altra in fase di analisi) impatta i prodotti Sophos Firewall e SG UTM con Sender Policy Framework (SPF) abilitato. Tali vulnerabilità, qualora sfruttate, potrebbero permettere a un attaccante remoto l’esecuzione di codice arbitrario (RCE) e l’accesso a informazioni sensibili sui server target.

I clienti di Sophos Firewall che non dispongono della licenza per la protezione della posta elettronica, quelli che utilizzano la modalità legacy per la posta elettronica e quelli con Sender Policy Framework disabilitato non sono vulnerabili.

Le CVE emesse si applicano ai prodotti Sophos Firewall e Sophos SG UTM.

Di seguito i CVE emessi su Exim:

• CVE-2023-42114 Exim NTLM Challenge Out-Of-Bounds Read Information Disclosure Vulnerability, CVSS SCORE: 3.7
• CVE-2023-42115 Exim AUTH Out-Of-Bounds Write Remote Code Execution Vulnerability, CVSS SCORE: 9.8
• CVE-2023-42116 Exim SMTP Challenge Stack-based Buffer Overflow Remote Code Execution Vulnerability, CVSS SCORE: 8.1
• CVE-2023-42117 Exim Improper Neutralization of Special Elements Remote Code Execution Vulnerability, CVSS SCORE: 8.1
• CVE-2023-42118 Exim libspf2 Integer Underflow Remote Code Execution Vulnerability, CVSS SCORE: 7.5
• CVE-2023-42119 Exim dnsdb Out-Of-Bounds Read Information Disclosure Vulnerability, CVSS SCORE: 3.1

Relativamente a tali vulnerabilità, Sophos riporta che i suoi prodotti sono vulnerabili alla CVE-2023-42118, che di fatto è una Remote Code Execution presente all’interno della libreria libspf2 di Exim mentre la CVE-2023-42119 risulta ancora in fase di analisi.

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Nota: il vendor afferma che rilascerà la patch per il prodotto SG UTM entro il 17 ottobre 2023. In attesa del rilascio di tale patch, si raccomanda la disattivare SPF in tutti i profili SMTP.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks