OpenSMTPD远程代码执行缝隙风险公告

颁布功夫 2020-02-26

缝隙编号和级别


CVE编号：：：CVE-2020-8794 ，，，危险级别：：：严重 ，，，CVSS分值：：：官方未评定


影响版本


OpenSMTPD小于6.6.4p1版本


缝隙概述


OpenBSD是加拿大OpenBSD项目组的一套跨平台的、、基于BSD的类UNIX操作系统。。OpenSMTPD是OpenBSD团队开发的一个免费的服务器端SMTP和谈实现 ，，，通过RFC5321界说 ，，，也是OpenBSD项主张一部门。。


安全钻研人员在邮件服务器OpenSMTPD中发现一个新的严重缝隙（CVE-2020-8794） ，，，攻击者能够远程利用该缝隙以root用户身份运行Shell号令。。OpenSMTPD利用在多个基于Unix的系统上 ，，，蕴含FreeBSD、、NetBSD、、macOS、、Linux（Alpine、、Arch、、Debian、、Fedora、、CentOS）。。


该缝隙影响了OpenSMTPD的默认装置 ，，，钻研人员指出该问题是在2015年12月引入的 ，，，但只有在2018年5月之后颁布的OpenSMTPD版本上能力够利用它以root特权执行代码。。在以前的版本中 ，，，shell号令能够作为非root号令运行。。


缝隙验证


钻研人员称将于2月26日颁布PoC ，，，并且已经在当前的OpenBSD6.6、、OpenBSD5.9、、Debian10、、Debian11和Fedora31上成功测试 ，，，。。


修复建议


OpenSMTPD 6.6.4p1中已经修复了该缝隙 ，，，建议用户尽快装置更新：：：https://www.mail-archive.com/misc@opensmtpd.org/msg04888.html。。


参考链接


https://www.bleepingcomputer.com/news/security/new-critical-rce-bug-in-openbsd-smtp-server-threatens-linux-distros/