Exim Schwachstelle

Woher hast du den Score? Alle Datenbanken, die ich gerade anschaue, haben noch keinen Score oder PoC veröffentlicht. 

Nur hier steht 3.1 CVSS. https://www.zerodayinitiative.com/advisories/ZDI-23-1473/

vom bsi https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2023-2505

Hello Simon,

Thank you for contacting the Sophos Community.

We have reached out internally about this, and once we hear back, we’ll update the post.

Regards,

Weitere Details und ergänzende Informationen:  media.defense.gov/.../CSA Sandworm Actors Exploiting%20Vulnerability%20in%20Exim%20Transfer%20Agent%2020200528.pdf

Als Ergänzung, es handelt sich um folgende CVE gemäß dem BSI Dokument 

CVE-2023-42116 - CVSS-Bewertung: 8.1 [ZDI23_b]
CVE-2023-42117 - CVSS-Bewertung: 8.1 [ZDI23_c]
CVE-2023-42118 - CVSS-Bewertung: 7.5 [ZDI23_d]

Ich habe auf meiner UTM / in den SMTP Proxy-Protokollen nachgesehen. Bei aktuellem [Patchlevel 9.716-2] wird ein [Exim  4.96] verwendet. Das Advisory - SANDWORM ACTORS EXPLOITING VULNERABILITY IN EXIM MAIL TRANSFER AGENT gibt folgende Empfehlung: Update Exim immediately by installing version 4.93 or newer to mitigate this and other vulnerabilities.

Somit sollte IMO, rein anhand der Versionsnummer, eine Sophos-UTM mit aktuellen Patchlevel nicht betroffen sein. Die Angabe ist unter Vorbehalt und erfordert eine offizielle Stellungnahme durch den Sophos-Support. 

Die vorhandene Exim-Version kann anhand der SMTP Proxy-Protokolle ermittelt werden. Die Zeichenkette sieht in etwa wie folgt aus:

... exim-in[xxxx]: 2023-09-30 08:30:42 exim 4.96 daemon started: pid=xxxx, no queue runs, listening for SMTP on port 25 (IPv4) port 587 (IPv4) and for SMTPS on port 465 (IPv4)

Das Advisory von dir ist von 2020. 

Sorry, habe m Eifer des Gefechs angenommen, dass das BSI eine aktuelle Meldung referenziert und nicht eine alte, gut angehangene. Somit sind wir nicht weiter.

Mal das ganze hin und her mit BSI & Score & älteren Problemen aussen vor ... haben wir hier mit der Sophos-Firewall und dem aktuellen EXIM-Problem ein Thema?

Wie sieht die Sophos-Empfehlung aus? BSI empfiehlt "abschalten".

Unabhängig davon: Sobald Sophos etwas veröffentlicht, wird es auch im Security Advisory publiziert: https://www.sophos.com/pt-br/security-advisories (Ein RSS Feed wert). 

Hello Simon / Team,

Update:

Recently some vulnerabilities for exim have been reported. Vulnerabilities reported are:

CVE-2023-42114, CVE-2023-42115, CVE-2023-42116, CVE-2023-42117, CVE-2023-42118, CVE-2023-42219.

Please find more information about Sophos products being vulnerable:

CVE-2023-42114: SFOS + UTM are not vulnerable because the SPA (NTLM) authentication method required to exploit is not used 

 CVE-2023-42115: SFOS + UTM are not vulnerable  because the EXTERNAL authentication method required to exploit is not used 

 CVE-2023-42116: SFOS + UTM are not vulnerable  because the SPA (NTLM) authentication method required to exploit is not used 

 CVE-2023-42117: SFOS + UTM are not vulnerable because the proxy-protocol support required to exploit is not used 

UTM and SFOS are both affected by the libspf2 vulnerability (CVE-2023-42118). Customers using Email Security and have turned on Sender Policy Framework (SPF) are vulnerable to this.

CVE-2023-42219: Under investigation. There's not enough info from exim yet to determine if we're vulnerable, but it's a CVSS 3.1 so lower severity compared to the others. 

Workaround:

Disable SPF using the following steps

SFOS:

      Turn off SPF in all (MTA mode) SMTP policies under "Email >> Policies & exceptions >> [edit policy] >> Spam protection >> Reject based on SPF".

An SFOS hotfix will be released to patch this vulnerability by 5^th October.

Regards,