Sicherheitsalarm: kritische Sicherheitslücken in SEPPMail können es Ihnen ermöglichen, E-Mails zu lesen und Remotecode auszuführen

Sicherheitsforscher haben im SEPPMail Secure E-Mail Gateway eine kritische Fehlerkette entdeckt, die gemeinsam das Lesen von E-Mails anderer Personen über die Ausführung von Remotecodes in der Anwendung des Gateways ermöglichen. Die Kombination von Fehlern in der Web-Schnittstelle und internen APIs macht diese Geräte zu einem hochwertigen Ziel: diejenigen, die es schaffen, sie auszunutzen, können Kommunikation abfangen, im Netzwerk bestehen und sich seitlich zu internen Systemen bewegen.

Die gemeldeten Schwächen umfassen von traversalen Schwachstellen, die es Ihnen erlauben, beliebige Dateien zu schreiben oder zu lesen, unsichere Deserialisierung, ovale Injektions- und Berechtigungsausfälle in unauthenticated Endpoints. Diese Arten von Fehlern sind oft besonders gefährlich in Mail-Gateways, weil der Verkehr, den sie verarbeiten, Anmeldeinformationen, Business-Anhänge und Metadaten enthält, die die Eskalation des Angriffs oder die Flucht der Erkennung erleichtern.

Ein von Forschern beschriebener technischer Vektor zeigt das Risiko: Wenn ein Angreifer Systemkonfigurationsdateien (z.B. die Syslog-Konfiguration) mit verletzlichen Prozessberechtigungen überschreiben kann, kann er den Log-Demon dazu veranlassen, diese Konfiguration wieder aufzuladen und durch Befehle, die von Perl innerhalb der Konfiguration interpretiert werden, eine umgekehrte Verbindung herzustellen. In diesem speziellen Fall wirkt die Drehung von Logs durch Werkzeuge wie Newsyslog, die regelmäßig von cron ausgeführt wird, als Auslöser für Syslog, um seine Konfiguration nach einer gewaltsamen Rotation um Größe wieder aufzuladen, wiederholte Webanfragen in einen Aktivierungsmechanismus umzuwandeln.

SEPPMail hat teilweise Patch-Korrekturen freigegeben: einige Fehler wurden in Versionen wie 15.0.2.1 und 15.0.3 gelöst, und der Rest in 15.0.4, so dass die erste zwingende Aktion für Administratoren ist die installierte Version zu überprüfen und die offiziellen Updates des Lieferanten anzuwenden.

Für Sicherheits- und Betriebsteams Maßnahmen sollten unmittelbar und mittelfristig ergriffen werden. Unmittelbar und um das Patch und die Integrität der Anwendung zu bestätigen, wird empfohlen, die Exposition der Management-Schnittstelle zu reduzieren: den Zugriff auf das Management-Netzwerk begrenzen, weiße Listen über IP anwenden, unkritische Funktionen wie große Dateiübertragung (falls möglich) deaktivieren und verletzliche Endpunkte mit Firewall- oder WAF-Regeln blockieren.

Bei verdächtigen Verpflichtungen, Behandlung der Anwendung als potentieller Filtrationspunkt. Benutzen Sie eine Eindämmung, die die Isolation der Anwendung der restlichen Infrastruktur, die forensische Erfassung von Festplatten oder Momentan, die Überprüfung von kritischen Konfigurationen (z.B. / etc / syslog.conf oder cron Jobs) und die Suche nach Ausführungen von unerwarteten Dolmetschern (Perl, sh) oder ungewöhnlichen ausgehenden Verbindungen beinhaltet. Es fügt hinzu, dass die Post möglicherweise ausgefiltert worden wäre und einen Antwortplan erstellt hätte, der interne Meldungen und gegebenenfalls betroffene und regulatorische Dritte umfasst.

Zur Erkennung und Jagd, Wertindikatoren wie Änderungen in Systemkonfigurationsdateien, Hinzufügen von Cron-Jobs, ungewöhnliche Log-Rotationen mit Web-Verkehrsspitzen und atypische Namen Prozesse, die interpretieren. Die Anwendung nach der Untersuchung aus einem sauberen Bild neu starten oder neu einsetzen ist der sicherste Weg, um die Entfernung von Rücktüren zu gewährleisten, gefolgt von der Rotation von Anmeldeinformationen und Zertifikaten, die vom Gateway verwendet werden.

Jenseits des unmittelbaren Patches präsentieren diese Schwachstellen gute Praktiken, die gestärkt werden sollten: strenge Netzwerksegmentierung für Perimeter-Anwendungen, Prinzip von weniger Privileg in Prozessen und Dateien, Verschärfung von APIs und starke Authentifizierungsmechanismen für administrative Schnittstellen, und regelmäßige Code-Rezensionen oder Sicherheitstests in Software, die sensible Daten verarbeitet. Exposition von Umgebungsvariablen oder fehlenden Berechtigungsprüfungen sind Konstruktionsfehler, die strukturelle Korrekturen erfordern, nicht nur Punktpatches.

Wenn Sie SEPPMail in der Produktion verwenden, überprüfen Sie die offiziellen Mitteilungen des Lieferanten, um die betroffenen Versionen und verfügbaren Patches zu bestätigen und folgen Sie Ihren Update-Guides. Es ist auch nützlich, die technische Analyse und Empfehlungen der Forscher zu überprüfen, um den Umfang des Risikos zu verstehen. Sie können mit den Seiten des Lieferanten und der Forscher beginnen: SEPPMail und InfoGuard. Um die Rolle des Syslogs und des SIghUP-Signals bei dieser Art von technischen Betrieben besser zu verstehen, sind Ressourcen wie Systemdokumentation nützlich: Mann Seite de syslod.

Kurz gesagt, diese Schwachstellen erinnern sich daran, dass Mail-Gateways keine neutralen Geräte sind: sie sind Repositories und Eingangstüren für kritische Informationen. Die Aktualisierung der abgekürzten Versionen, die Begrenzung des administrativen Zugangs, die Untersuchung von Verpflichtungserscheinungen und die Umsetzung struktureller Sicherheitsmaßnahmen sind wesentliche Schritte zur Minderung des Risikos und zur Verringerung der Wahrscheinlichkeit eines verheerenden Eindringens.