Trusted Design

解説:

CVE-2010-4344について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2010-4344は、Eximのstring.cファイル内のstring_vformat関数におけるヒープベースのバッファオーバーフローの脆弱性です。この脆弱性により、リモートの攻撃者は、2つのMAILコマンドと、細工されたヘッダーを含む大きなメッセージからなるSMTPセッションを介して、任意のコードを実行できます。この問題は、不適切な拒否ログが原因で発生します。

1.1 影響

この脆弱性が悪用されると、リモートの攻撃者によってEximの実行権限で任意のコードが実行される可能性があります。これにより、影響を受けるシステムの機密性、完全性、可用性が完全に侵害される可能性があります。具体的には、攻撃者はメールサーバーの完全な制御を奪い、機密情報への不正アクセス、データの変更または破壊、およびメールサービスの停止を引き起こす可能性があります。

1.2 深刻度

• CVSS v2 基本スコア: 9.3 (危険) (攻撃元区分: ネットワーク, 攻撃条件の複雑さ: 中, 攻撃前の認証要否: 不要, 機密性への影響: 全面的, 完全性への影響: 全面的, 可用性への影響: 全面的)
• CVSS v3.1 スコア: 9.8 (Critical)
• Red Hat による CVSS v2 スコア: 7.5 (重要) この脆弱性は、CISA (米国サイバーセキュリティ・インフラストラクチャセキュリティ庁) のKnown Exploited Vulnerabilities (KEV) カタログに2022年3月25日に追加されており、実際に悪用されたことが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Exim: バージョン 4.70より前のExim
• Red Hat Enterprise Linux:
  • Red Hat Enterprise Linux 4 (AS/ES/WS, 4.7, 4.8)
  • Red Hat Enterprise Linux 5 (server, 5.3.z EUS, 5.4.z EUS, Long Life v. 5.3 server)
  • Red Hat Enterprise Linux Desktop 4.0, 5.0 (client)
• OpenSUSE: SUSE-SA:2010:059 にて言及されています。

2.2 影響を受ける設定

特に特定の設定は記載されていませんが、Eximがメール転送エージェントとして稼働し、SMTPセッションを受け入れる環境が影響を受けます。

3. 影響を受けた時の兆候

• Nmapの脆弱性スクリプト（smtp-vuln-cve2010-4344）によると、エクスプロイトが失敗した場合、Exim smtpdの子プロセスが強制終了する（ヒープ破損）可能性があります。
• 攻撃者が任意のコード実行に成功した場合、予期せぬプロセスの実行、システムログの異常、データの改ざん、またはシステムリソースの過剰な消費といった兆候が見られる可能性があります。

4. 推奨対策

4.1 本対策

• Eximのアップグレード: Eximをバージョン4.70以降にアップグレードしてください。
• ベンダーのパッチ適用: 使用しているOSのベンダーや配布元が提供する修正済みのバージョンに更新してください。Red Hat Enterprise Linuxの場合、RHSA-2010:0970セキュリティアドバイザリを参照し、該当するパッチを適用してください。

4.2 暫定回避策（緩和策）

• ネットワークセグメンテーション: 即座にアップグレードが困難な場合、信頼できないネットワークからのメールサーバーへのアクセスを制限するために、ネットワークセグメンテーションを実装することを検討してください。
• SMTPトラフィックの監視: 複数のMAILコマンドや異常に大きなヘッダーを持つSMTPセッションなど、異常なパターンがないかSMTPトラフィックを監視してください。
• アクセス制御と認証: メールサーバーに強力なアクセス制御と認証メカニズムを実装してください。
• 定期的な更新とパッチ適用: メールサーバーインフラストラクチャのすべてのソフトウェアコンポーネントを定期的に更新し、パッチを適用してください。
• IDS/IPSの導入: 潜在的なエクスプロイト試行を検出してブロックするために、侵入検知/防御システム (IDS/IPS) の使用を検討してください。

5. 他に解説すべき観点

• CWE (Common Weakness Enumeration): この脆弱性は、CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer - メモリバッファの境界内での操作の不適切な制限) または CWE-78 (Improper Neutralization of Special Elements used in an OS Command - OSコマンドで使用される特殊な要素の不適切な無効化) に関連付けられています。
• CISA KEV (Known Exploited Vulnerabilities): 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) のKnown Exploited Vulnerabilitiesカタログに2022年3月25日に追加されており、この脆弱性が実際に悪用されたことが確認されています。これは、CVSSスコアだけでは判断できない、現実世界でのリスクが高い脆弱性であることを示唆しています。

参照したサイト

• CVE Record
• Red Hat Customer Portal
• CVE-2010-4344 | Critical Vulnerability in Exim - Appsecure Security
• CVE-2010-4344: Exim Heap-Based Buffer Overflow Vulnerability - Safeguard
• Vulnerability Change Records for CVE-2010-4344 - NVD
• CVE-2010-4344 - Exploits & Severity - Feedly
• JVNDB-2010-002580 - JVN iPedia - 脆弱性対策情報データベース
• smtp-vuln-cve2010-4344 NSE script - Nmap
• CVE-2010-4344 — פרטי פגיעות - TechRS
• 脆弱性対応とは？CVE対応とパッチ管理の実務フロー | BBSec SQAT®.jp