CERTFR-2023-ALE-010
Vulnerability from certfr_alerte

Le 27 septembre 2023, Zero Day Initiative (ZDI) a publié six avis de sécurité [1] concernant des vulnérabilités de type zéro-jour affectant les versions antérieures à 4.96.1 ou 4.97 de l'agent de transfert de courriels (Mail Transfer Agent ou MTA) Exim. Le 1er octobre 2023, l'éditeur a publié un avis de sécurité [2] contenant les détails des six vulnérabilités découvertes par ZDI.

L'éditeur annonce dans son bulletin du 1er octobre 2023 la correction, dans les versions 4.96.1 et 4.97 d'Exim, de trois vulnérabilités affectant la gestion de l'authentification :

  • Les vulnérabilités identifiées CVE-2023-42114 et CVE-2023-42116 ayant respectivement un score CVSSv3 de 3.7 et 8.1 sont présentes dans le sous-système SPA/NTLM. Ce dernier introduit une faiblesse dans la validation des entrées utilisateurs lors du traitement des demandes de défis (challenges) NTLM. Un attaquant distant est en mesure de provoquer une atteinte à la confidentialité des données et une exécution de code arbitraire ;
  • La vulnérabilité CVE-2023-42115, avec un score CVSSv3 de 9.8, est liée à l'implémentation du mécanisme EXTERNAL de la couche d'authentification et de sécurité simple (Simple Authentication and Security Layer ou SASL). Un manque de validation des données fournies par l'utilisateur permet à un attaquant distant de tenter une exécution de code arbitraire.

Cependant, à la date de publication initiale de cette alerte, l'éditeur ne propose pas de correctif pour les trois vulnérabilités suivantes :

  • La vulnérabilité CVE-2023-42117 ayant un score CVSSv3 de 8.1 est liée à la gestion du protocole PROXY. Un manque de validation des données soumises par l'utilisateur peut permettre à un attaquant distant de compromettre l'intégrité des données en mémoire et de tenter une exécution de code arbitraire.
  • La vulnérabilité identifiée CVE-2023-42118 a un score CVSSv3 de 7.5. Un attaquant adjacent au réseau peut tenter une exécution de code arbitraire vers les versions affectées de la bibliothèque libspf2 incluse dans Exim.
  • Enfin, la vulnérabilité dont le numéro d'identification est CVE-2023-42119 est référencée avec un score CVSSv3 de 3.1. Elle est introduite par le sous-système de recherches DNS : un manque de validation des données fournies par l'utilisateur peut entraîner une lecture au-delà du tampon alloué. Un attaquant adjacent au réseau peut alors, en conjonction avec d'autres vulnérabilités, tenter une exécution de code arbitraire dans le contexte du compte de service.

Contournement provisoire

L'éditeur ne propose pas de correctif pour les trois vulnérabilités CVE-2023-42117, CVE-2023-42118 et CVE-2023-42119. Les mesures de contournement proposées consistent à :

  • Pour CVE-2023-42117 : recourir à un relai (proxy) de confiance utilisant le protocole PROXY ;
  • Pour CVE-2023-42118 : ne pas utiliser de macro spf dans les directives de configuration définissant les listes de contrôles d'accès (Access Control Lists ou ACL) ;
  • Pour CVE-2023-42119 : utiliser un résolveur DNS de confiance, étant en mesure de valider les données en fonction des types d'enregistrements DNS. Cependant, la description du contournement proposé par l'éditeur ne permet pas de proposer un produit répondant à cette exigence.

Solution

Le CERT-FR incite fortement à mettre à jour Exim à la dernière version 4.96.1 ou 4.97 afin de corriger les vulnérabilités CVE-2023-42114, CVE-2023-42115 et CVE-2023-42116 dès la disponibilité des sources ou des paquets par l'éditeur ou les distributions Linux.

L'installation des correctifs pour les autres vulnérabilités devra être réalisée dès leur disponibilité.

Se référer au bulletin de sécurité de l'éditeur ou des distributions Linux pour l'obtention des correctifs (cf. section Documentation).

Impacted products
Vendor Product Description
Exim N/A Exim versions antérieures à 4.96.1 ou 4.97
References
Bulletin de sécurité ZDI 23-1469 2023-09-27 vendor-advisory
Bulletin de sécurité ZDI 23-1470 2023-09-27 vendor-advisory
Bulletin de sécurité ZDI 23-1473 2023-09-27 vendor-advisory
Bulletin de sécurité ZDI 23-1472 2023-09-27 vendor-advisory
[2] Bulletin de sécurité Exim 2023-10-01 vendor-advisory
[1] Bulletin de sécurité ZDI 23-1468 2023-09-27 vendor-advisory
Bulletin de sécurité ZDI 23-1471 2023-09-27 vendor-advisory

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Exim versions ant\u00e9rieures \u00e0 4.96.1 ou 4.97",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "Exim",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": "",
  "closed_at": "2024-02-16",
  "content": "## Contournement provisoire\n\nL\u0027\u00e9diteur ne propose pas de correctif pour les trois vuln\u00e9rabilit\u00e9s\nCVE-2023-42117, CVE-2023-42118 et CVE-2023-42119. Les mesures de\ncontournement propos\u00e9es consistent \u00e0 :\n\n-   Pour CVE-2023-42117 : recourir \u00e0 un relai (*proxy*) de confiance\n    utilisant le protocole PROXY ;\n-   Pour CVE-2023-42118 : ne pas utiliser de *macro* *spf* dans les\n    directives de configuration d\u00e9finissant les listes de contr\u00f4les\n    d\u0027acc\u00e8s (Access Control Lis*ts* ou *ACL*) ;\n-   Pour CVE-2023-42119 : utiliser un r\u00e9solveur DNS de confiance, \u00e9tant\n    en mesure de valider les donn\u00e9es en fonction des types\n    d\u0027enregistrements DNS. Cependant, la description du contournement\n    propos\u00e9 par l\u0027\u00e9diteur ne permet pas de proposer un produit r\u00e9pondant\n    \u00e0 cette exigence.\n\n## Solution\n\nLe CERT-FR incite fortement \u00e0 mettre \u00e0 jour Exim \u00e0 la derni\u00e8re version\n4.96.1 ou 4.97 afin de corriger les vuln\u00e9rabilit\u00e9s CVE-2023-42114,\nCVE-2023-42115 et CVE-2023-42116 d\u00e8s la disponibilit\u00e9 des sources ou des\npaquets par l\u0027\u00e9diteur ou les distributions Linux.\n\nL\u0027installation des correctifs pour les autres vuln\u00e9rabilit\u00e9s devra \u00eatre\nr\u00e9alis\u00e9e d\u00e8s leur disponibilit\u00e9.\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur ou des distributions\nLinux pour l\u0027obtention des correctifs (cf. section Documentation).",
  "cves": [
    {
      "name": "CVE-2023-42118",
      "url": "https://www.cve.org/CVERecord?id=CVE-2023-42118"
    },
    {
      "name": "CVE-2023-42116",
      "url": "https://www.cve.org/CVERecord?id=CVE-2023-42116"
    },
    {
      "name": "CVE-2023-42115",
      "url": "https://www.cve.org/CVERecord?id=CVE-2023-42115"
    },
    {
      "name": "CVE-2023-42117",
      "url": "https://www.cve.org/CVERecord?id=CVE-2023-42117"
    },
    {
      "name": "CVE-2023-42119",
      "url": "https://www.cve.org/CVERecord?id=CVE-2023-42119"
    },
    {
      "name": "CVE-2023-42114",
      "url": "https://www.cve.org/CVERecord?id=CVE-2023-42114"
    }
  ],
  "initial_release_date": "2023-10-02T00:00:00",
  "last_revision_date": "2024-02-16T00:00:00",
  "links": [],
  "reference": "CERTFR-2023-ALE-010",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2023-10-02T00:00:00.000000"
    },
    {
      "description": "Cl\u00f4ture de l\u0027alerte. Cela ne signifie pas la fin d\u0027une menace. Seule l\u0027application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l\u0027exploitation de la vuln\u00e9rabilit\u00e9 correspondante.",
      "revision_date": "2024-02-16T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    },
    {
      "description": "Atteinte \u00e0 l\u0027int\u00e9grit\u00e9 des donn\u00e9es"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    }
  ],
  "summary": "Le 27 septembre 2023, Zero Day Initiative (ZDI) a publi\u00e9 six avis de\ns\u00e9curit\u00e9 \\[1\\] concernant des vuln\u00e9rabilit\u00e9s de type z\u00e9ro-jour affectant\nles versions ant\u00e9rieures \u00e0 4.96.1 ou 4.97 de l\u0027agent de transfert de\ncourriels (*Mail Transfer Agent* ou *MTA*) Exim. Le 1er octobre 2023,\nl\u0027\u00e9diteur a publi\u00e9 un avis de s\u00e9curit\u00e9 \\[2\\] contenant les d\u00e9tails des\nsix vuln\u00e9rabilit\u00e9s d\u00e9couvertes par ZDI.\n\nL\u0027\u00e9diteur annonce dans son bulletin du 1er octobre 2023 la\ncorrection,\u00a0dans les versions 4.96.1 et 4.97 d\u0027Exim, de trois\nvuln\u00e9rabilit\u00e9s affectant la gestion de l\u0027authentification :\n\n-   Les vuln\u00e9rabilit\u00e9s identifi\u00e9es CVE-2023-42114 et CVE-2023-42116\n    ayant respectivement un score *CVSSv3* de 3.7 et 8.1 sont pr\u00e9sentes\n    dans le sous-syst\u00e8me *SPA/NTLM.* Ce dernier introduit une faiblesse\n    dans la validation des entr\u00e9es utilisateurs lors du traitement des\n    demandes de d\u00e9fis (*challenges*) *NTLM.* Un attaquant distant est en\n    mesure de provoquer une atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es et\n    une ex\u00e9cution de code arbitraire ;\n-   La vuln\u00e9rabilit\u00e9 CVE-2023-42115, avec un score *CVSSv3* de 9.8, est\n    li\u00e9e \u00e0 l\u0027impl\u00e9mentation du m\u00e9canisme *EXTERNAL* de la couche\n    d\u0027authentification et de s\u00e9curit\u00e9 simple (*Simple Authentication and\n    Security Layer* ou *SASL*). Un manque de validation des donn\u00e9es\n    fournies par l\u0027utilisateur permet \u00e0 un attaquant distant de tenter\n    une ex\u00e9cution de code arbitraire.\n\nCependant, \u00e0 la date de publication initiale de cette alerte, l\u0027\u00e9diteur\nne propose pas de correctif pour les trois vuln\u00e9rabilit\u00e9s suivantes :\n\n-   La vuln\u00e9rabilit\u00e9 CVE-2023-42117 ayant un score *CVSSv3* de 8.1 est\n    li\u00e9e \u00e0 la gestion du protocole PROXY. Un manque de validation des\n    donn\u00e9es soumises par l\u0027utilisateur peut permettre \u00e0 un attaquant\n    distant de compromettre l\u0027int\u00e9grit\u00e9 des donn\u00e9es en m\u00e9moire et de\n    tenter une ex\u00e9cution de code arbitraire.\n-   La vuln\u00e9rabilit\u00e9 identifi\u00e9e CVE-2023-42118 a un score *CVSSv3* de\n    7.5. Un attaquant adjacent au r\u00e9seau peut tenter une ex\u00e9cution de\n    code arbitraire vers les versions affect\u00e9es de la biblioth\u00e8que\n    *libspf2* incluse dans Exim.\n-   Enfin, la vuln\u00e9rabilit\u00e9 dont le num\u00e9ro d\u0027identification est\n    CVE-2023-42119 est r\u00e9f\u00e9renc\u00e9e avec un score *CVSSv3* de 3.1. Elle\n    est introduite par le sous-syst\u00e8me de recherches DNS : un manque de\n    validation des donn\u00e9es fournies par l\u0027utilisateur peut entra\u00eener une\n    lecture au-del\u00e0 du tampon allou\u00e9. Un attaquant adjacent au r\u00e9seau\n    peut alors, en conjonction avec d\u0027autres vuln\u00e9rabilit\u00e9s, tenter une\n    ex\u00e9cution de code arbitraire dans le contexte du compte de service.\n\n\u00a0\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans Exim",
  "vendor_advisories": [
    {
      "published_at": "2023-09-27",
      "title": "Bulletin de s\u00e9curit\u00e9 ZDI 23-1469",
      "url": "https://www.zerodayinitiative.com/advisories/ZDI-23-1469/"
    },
    {
      "published_at": "2023-09-27",
      "title": "Bulletin de s\u00e9curit\u00e9 ZDI 23-1470",
      "url": "https://www.zerodayinitiative.com/advisories/ZDI-23-1470/"
    },
    {
      "published_at": "2023-09-27",
      "title": "Bulletin de s\u00e9curit\u00e9 ZDI 23-1473",
      "url": "https://www.zerodayinitiative.com/advisories/ZDI-23-1473/"
    },
    {
      "published_at": "2023-09-27",
      "title": "Bulletin de s\u00e9curit\u00e9 ZDI 23-1472",
      "url": "https://www.zerodayinitiative.com/advisories/ZDI-23-1472/"
    },
    {
      "published_at": "2023-10-01",
      "title": "[2] Bulletin de s\u00e9curit\u00e9 Exim",
      "url": "https://www.exim.org/static/doc/security/CVE-2023-zdi.txt"
    },
    {
      "published_at": "2023-09-27",
      "title": "[1] Bulletin de s\u00e9curit\u00e9 ZDI 23-1468",
      "url": "https://www.zerodayinitiative.com/advisories/ZDI-23-1468/"
    },
    {
      "published_at": "2023-09-27",
      "title": "Bulletin de s\u00e9curit\u00e9 ZDI 23-1471",
      "url": "https://www.zerodayinitiative.com/advisories/ZDI-23-1471/"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.