By | February 26, 2018

מומחי אבטחה הליבה מצאו מספר פגמים האבטחה בשער הצפנת דואר אלקטרוני מבוסס לינוקס מיקרו מגמה. חלק מנקודות הפגיעות שדורגו ביקורתי, חמור ושהתקבלו הזיהוי CVE מספרים CVE-2018-6219 דרך CVE-2018-6230.

על פי החוקרים אבטחה, ניתן לנצל את הפגיעות החמורות ביותר על ידי האקר מקומיים או מרוחקים עם גישה למערכת יישוב כדי לבצע פקודות שרירותי עם הרשאות root.

“הצפנה עבור שער דוא ל היא פתרון תוכנה מבוססת לינוקס מתן היכולת לבצע על ההצפנה ועל הפענוח של הדוא ל שער של החברה, ללא תלות בלקוח דוא ל, והן את הפלטפורמה המקורית. ההצפנה ועל הפענוח של הדוא ל לקוח TMEEG נשלטת על-ידי מדיניות מנהל מאפשר למנהל להגדיר מדיניות בהתבסס על פרמטרים שונים, כגון השולח כתובות אימייל הנמען” שבליבת האבטחה מומחים אומרים.

“בפגיעויות מרובות נמצאו במסוף האינטרנט שער הצפנת דואר אלקטרוני מיקרו מגמה, שיאפשר לתוקף שזהותו לא אומתה מרחוק לקבל ביצוע הפקודה כמו השורש”.

הפגם האבטחה הקריטיים ביותר הוא CVE-2018-6223, במה שקשור אימות חסרים עבור רישום המכשיר.

מנהלי מערכת יכולים להגדיר את המכשיר וירטואלי הפעלת שער הצפנת דואר אלקטרוני במהלך תהליך הפריסה על פריסה באמצעות נקודת קצה של רישום.

המומחים מצא כי האקרים יכולים לגשת את נקודת הקצה ללא כל אימות, כדי להגדיר אישורי מנהל מערכת, וכדי לבצע כמה שינויים אחרים התצורה.

“נקודת הקצה רישום מסופק עבור מנהלי מערכת להגדיר את המכשיר וירטואלי על הפריסה. עם זאת, נקודת קצה זו נותרת נגיש ללא אימות אפילו לאחר המכשיר מוגדר, אשר תאפשר לתוקפים להגדיר את פרמטרי התצורה כגון מנהל בשם המשתמש ובסיסמה.” אבטחה ניתוח קורא.

בנוסף, החוקרים מצאו שני חומרה גבוהה תקיפות scripting בין אתרים (XSS) פגמים, בעיה לכתוב קובץ זדוני אשר יכול להוביל ביצוע הפקודה, אני מיקומי קבצים שרירותי יומן מובילים ביצוע הפקודה ועדכוני תוכנה unvalidated.

יתר הפגיעויות שהמומחים רשומים הם SQL ו- XML זריקות לישות חיצונית (בהמשך).

החבילות המושפעת Trend Micro דוא ל הצפנה שער 5.5 (1111.00 לבנות), קודם לכן, טרנד מיקרו התייחס עשר מהפגיעויות עם הבנייה מגירסא 5.5 1129.

בהתחשב דוח ציר הזמן, נראה כי Trend Micro במשך יותר משישה חודשים להנפיק תיקוני האבטחה.

Trend Micro דיווחו כי בשל הקשיים של יישום תיקון, בעיית חומרה בינונית CSRF, הזרקת SQL על חומרת נמוך פגיעות יש לא היה שתוקנה עדיין.

Leave a Reply

Your email address will not be published. Required fields are marked *