OpenSMTPD远程代码执行误差危害通告

宣布时间 2020-02-26

误差编号和级别


CVE编号：CVE-2020-8794，，，，危险级别：严重，，，，CVSS分值：官方未评定


影响版本


OpenSMTPD小于6.6.4p1版本


误差概述


OpenBSD是加拿大OpenBSD项目组的一套跨平台的、基于BSD的类UNIX操作系统 。。OpenSMTPD是OpenBSD团队开发的一个免费的效劳器端SMTP协议实现，，，，通过RFC5321界说，，，，也是OpenBSD项目的一部分 。。


清静研究职员在邮件效劳器OpenSMTPD中发明一个新的严重误差（CVE-2020-8794），，，，攻击者可以远程使用该误差以root用户身份运行Shell下令 。。OpenSMTPD应用在多个基于Unix的系统上，，，，包括FreeBSD、NetBSD、macOS、Linux（Alpine、Arch、Debian、Fedora、CentOS） 。。


该误差影响了OpenSMTPD的默认装置，，，，研究职员指出该问题是在2015年12月引入的，，，，但只有在2018年5月之后宣布的OpenSMTPD版本上才可以使用它以root特权执行代码 。。在以前的版本中，，，，shell下令可以作为非root下令运行 。。


误差验证


研究职员称将于2月26日宣布PoC，，，，并且已经在目今的OpenBSD6.6、OpenBSD5.9、Debian10、Debian11和Fedora31上乐成测试，，，， 。。


修复建议


OpenSMTPD 6.6.4p1中已经修复了该误差，，，，建议用户尽快装置更新：https://www.mail-archive.com/misc@opensmtpd.org/msg04888.html 。。


参考链接


https://www.bleepingcomputer.com/news/security/new-critical-rce-bug-in-openbsd-smtp-server-threatens-linux-distros/