ພົບ Exim mail server ຫຼາຍລ້ານເຄື່ອງ ຖືກໂຈມຕີດ້ວຍຊ່ອງໂຫວ່ Zero-day RCE
ພົບຊ່ອງໂຫວ່ Zero-day ໃນຊອບແວ Exim Mail Transfer Agent (MTA) ທີ່ເຮັດໃຫ້ແຮັກເກີ (Hacker) ສາມາດຫຼີກລ່ຽງການກວດສອບສິດ ແລະ ເອີ້ນໃຊ້ໂຄ້ດ (Code) ທີ່ເປັນອັນຕະລາຍຈາກໄລຍະໄກ Remote Code Execution (RCE) ເທິງ Exim mail server ທີ່ເຂົ້າເຖິງໄດ້ຈາກອິນເຕີເນັດ.
Exim ເປັນ Mail Transfer Agent (MTA) ທີ່ເຮັດວຽກເທິງ Debian Linux distros ແລະ ເປັນຊອບແວ MTA ທີ່ໄດ້ຮັບຄວາມນິຍົມຫຼາຍທີ່ສຸດໃນໂລກ ຕາມການສຳຫຼວດ mail server ໃນເດືອນ ກັນຍາ 2023.
CVE-2023-42115 ເປັນຊ່ອງໂຫວ່ Zero-day ໃນຊອບແວ Exim Mail Transfer Agent (MTA) ທີ່ເກີດຈາກ Out-of-bounds Write ໃນ SMTP service ທີ່ບໍ່ປອດໄພ ຊຶ່ງສົ່ງຜົນເຮັດໃຫ້ຊອບແວຢຸດການເຮັດວຽກ ຫຼື ເກີດຄວາມເສຍຫາຍຂອງຂໍ້ມູນຫຼັງຈາກການໂຈມຕີ ລວມເຖິງການເອີ້ນໃຊ້ໂຄ້ດທີ່ເປັນອັນຕະລາຍຈາກໄລຍະໄກເທິງ Exim mail server ທີ່ມີຊ່ອງໂຫວ່.
ຊ່ອງໂຫວ່ນີ້ຖືກຄົ້ນພົບໂດຍ Zero Day Initiative (ZDI) ຂອງ Trend Micro ແລະ ລາຍງານໄປຫາ Exim ຕັ້ງແຕ່ເດືອນ ມິຖຸນາ 2022 ແລະ ສົ່ງຂໍ້ມູນຂອງຊ່ອງໂຫວ່ເພີ່ມຕື່ມໃຫ້ກັບ Exim ໃນເດືອນ ພຶດສະພາ 2023 ອີກຄັ້ງ ແຕ່ກໍ່ບໍ່ໄດ້ມີການລາຍງານການອັບເດດແພັດດ້ານຄວາມປອດໄພ (Patch) ດ້ວຍເຫດນີ້ ZDI ຈຶ່ງໄດ້ເຜີຍແຜ່ຊ່ອງໂຫວ່ໃນວັນທີ 27 ກັນຍາ 2023 ໂດຍມີລາຍລະອຽດກ່ຽວກັບຊ່ອງໂຫວ່ CVE-2023-42115 ແລະ ຊ່ວງເວລາ ໃນການປະສານງານແຈ້ງຂໍ້ມູນຊ່ອງໂຫວ່ໄປຫາ Exim.
ຊ່ອງໂຫວ່ເທິງ Exim mail server ເກີດຈາກບັນຫາການຂາດການກວດສອບຄວາມຖືກຕ້ອງຂອງຂໍ້ມູນທີ່ຜູ້ໃຊ້ລະບຸ ຊຶ່ງອາດຈະສົ່ງຜົນໃຫ້ເກີດ Out-of-bounds Write ຂອງ buffer ເຮັດໃຫ້ແຮັກເກີສາມາດໃຊ້ຊ່ອງໂຫວ່ນີ້ເພື່ອເອີ້ນໃຊ້ຄຳສັ່ງໃນບໍລິບົດຂອງ service account ໂດຍຊ່ອງໂຫວ່ດັ່ງກ່າວຢູ່ໃນ smtp service ເທິງ TCP port 25 ຕາມຄ່າເລີ່ມຕົ້ນ.
Exim mail server ເປັນລ້ານຖືກໂຈມຕີ
MTA server ເຊັ່ນ: Exim mail server ເປັນເປົ້າໝາຍທີ່ມີຄວາມສ່ຽງໃນການໂຈມຕີຊ່ອງໂຫວ່ສູງ ເນື່ອງຈາກສາມາດເຂົ້າເຖິງໄດ້ຜ່ານທາງອິນເຕີເນັດ ແລະ ຈຸດເລີ່ມຕົ້ນໃນການໂຈມຕີເພື່ອເຂົ້າເຖິງເຄືອຂ່າຍຂອງເປົ້າໝາຍ.
ເຊັ່ນດຽວກັບສຳນັກງານຄວາມໝັ້ນຄົງແຫ່ງຊາດຂອງສະຫະລັດອາເມລິກາ (NSA) ທີ່ໄດ້ລາຍງານວ່າໃນ ເດືອນ ພຶດສະພາ 2020 ໄດ້ພົບກຸ່ມແຮັກເກີທາງທະຫານຂອງລັດເຊຍ ໃນຊື່ Sandworm ໄດ້ໃຊ້ປະໂຫຍດຈາກຊ່ອງໂຫວ່ Exim CVE-2019-10149 (The Return of the WIZard) ໃນການໂຈມຕີເປົ້າໝາຍມາຕັ້ງແຕ່ເດືອນ ສິງຫາ 2019.
ຈາກການສຳຫຼວດພົບວ່າ Exim ໄດ້ຮັບການຕິດຕັ້ງເທິງລະບົບຫຼາຍກວ່າ 56% ຈາກທັງໝົດ 602,000 ອີເມວເຊີເວີ ທີ່ເຂົ້າເຖິງໄດ້ເທິງອິນເຕີເນັດ ຄິດເປັນເຊີເວີ Exim ຫຼາຍກວ່າ 342,000 ເຄື່ອງ ລວມເຖິງຈາກການຄົ້ນຫາຂອງ Shodan ພົບວ່າ ປະຈຸບັນມີເຊີເວີ Exim ຫຼາຍກວ່າ 3.5 ລ້ານ ເຄື່ອງ ທີ່ເຂົ້າເຖິງໄດ້ເທິງອິນເຕີເນັດ ຊຶ່ງສ່ວນໃຫຍ່ຢູ່ໃນສະຫະລັດອາເມລິກາ ຮອງລົງມາຄືຣັດເຊຍ ແລະ ເຢຍລະມັນ.
ປັດຈຸບັນ, ຊ່ອງໂຫວ່ Zero-day ໃນ Exim mail server ຍັງບໍ່ມີການອອກແພັດອັບເດດ ເພື່ອແກ້ໄຂຊ່ອງໂຫວ່ ແຕ່ທາງ ZDI ແນະນຳໃຫ້ຜູ້ເບິ່ງແຍງລະບົບຈຳກັດການເຂົ້າເຖິງຈາກອິນເຕີເນັດ ເພື່ອປ້ອງກັນການໂຈມຕີຈາກຊ່ອງໂຫວ່ໄວ້ກ່ອນ.
ເອກະສານອ້າງອີງ:
- https://www.bleepingcomputer.com/news/security/millions-of-exim-mail-servers-exposed-to-zero-day-rce-attacks/
- https://www.i-secure.co.th/2023/10/%e0%b8%9e%e0%b8%9a-exim-mail-server-%e0%b8%ab%e0%b8%a5%e0%b8%b2%e0%b8%a2%e0%b8%a5%e0%b9%89%e0%b8%b2%e0%b8%99%e0%b9%80%e0%b8%84%e0%b8%a3%e0%b8%b7%e0%b9%88%e0%b8%ad%e0%b8%87-%e0%b8%96%e0%b8%b9%e0%b8%81/
ລາຍການຮູບ
