Dos nuevas vulnerabilidades críticas en OpenSMTPD… otra vez

Las fallas de seguridad en desarrollos de software aparecen constantemente, y en ocasiones los desarrolladores se encuentran nuevos reportes apenas corrigen las fallas anteriores. Acorde a especialistas en forense digital, tan solo unas semanas después de que se corrigiera una vulnerabilidad crítica en OpenSMTPD, el servidor de email de OpenBSD, surgió un nuevo reporte sobre dos fallas adicionales.

Esta es una falla de divulgación de información local de severidad media que podría ser explotada de forma remota para ejecutar comandos arbitrarios en el dispositivo vulnerable, mencionan los investigadores de la firma de seguridad Qualys, encargados del reporte.

Identificada como CVE-2020-8793, esta es una falla de gravedad reducida cuya explotación permitiría que un actor de amenazas local sin privilegios pueda leer la primera línea de un archivo arbitrario o el contenido completo del archivo de otro usuario. Los investigadores en forense digital también desarrollaron una prueba de concepto, la cual demostró ser funcional en las más recientes versiones de OpenBSD y Fedora.

Por otra parte, CVE-2020-8794 es un defecto de lectura fuera de los límites introducido en diciembre de 2015 y puede conducir a la ejecución de comandos de shell arbitrarios como usuario root o como cualquier otro usuario, dependiendo de la versión vulnerable de OpenSMTPD. Dado a que reside en el código del lado del cliente de OpenSMTPD, es posible desencadenar dos escenarios de ataque distintos:

  • Explotación del lado del cliente: Es posible explotar esta falla de forma remota en la configuración predeterminada de OpenSMTPD ejecutando comandos de shell arbitrarios en la instalación vulnerable
  • Explotación del lado del servidor: Un atacante conectado al servidor OpenSMTPD puede explotar la vulnerabilidad para ejecutar comandos de shell, bloquear el servicio y esperar a que sea reiniciado por el administrador o se reinicie de forma automática

Las dos vulnerabilidades ya han sido corregidas, por lo que se recomienda a los administradores de implementaciones expuestas parchear a la brevedad. Especialistas en forense digital del Instituto Internacional de Seguridad Cibernética (IICS) menciona que la falla de ejecución remota de código reportada anteriormente fue explotada en escenarios reales de forma posterior a la divulgación pública de la falla. En esta ocasión, para prevenir cualquier riesgo, la prueba de concepto será revelada una vez que la industria considere que el riesgo de explotación activa termine.