|
|
Microsoft Exchange Server IMC EHLO应答存在缓冲溢出漏洞
发布时间：2002-07-27
更新时间：2002-07-27
严重程度：高
威胁程度：远程管理员权限
错误类型：边界检查错误
利用方式：服务器模式
BUGTRAQ ID：5306
CVE(CAN) ID：CAN-2002-0698
受影响系统Microsoft Exchange Server 5.5 SP4
- Microsoft BackOffice 4.5
- Microsoft Windows 2000 Workstation
- Microsoft Windows 2000 Workstation SP1
- Microsoft Windows 2000 Workstation SP2
- Microsoft Windows NT 4.0
- Microsoft Windows NT 4.0 SP1
- Microsoft Windows NT 4.0 SP2
- Microsoft Windows NT 4.0 SP3
- Microsoft Windows NT 4.0 SP4
- Microsoft Windows NT 4.0 SP5
- Microsoft Windows NT 4.0 SP6
- Microsoft Windows NT 4.0 SP6a
Microsoft Exchange Server 5.5 SP3
- Microsoft BackOffice 4.5
- Microsoft Windows 2000 Workstation
- Microsoft Windows 2000 Workstation SP1
- Microsoft Windows 2000 Workstation SP2
- Microsoft Windows NT 4.0
- Microsoft Windows NT 4.0 SP1
- Microsoft Windows NT 4.0 SP2
- Microsoft Windows NT 4.0 SP3
- Microsoft Windows NT 4.0 SP4
- Microsoft Windows NT 4.0 SP5
- Microsoft Windows NT 4.0 SP6
- Microsoft Windows NT 4.0 SP6a
Microsoft Exchange Server 5.5 SP2
- Microsoft BackOffice 4.5
- Microsoft Windows 2000 Workstation
- Microsoft Windows 2000 Workstation SP1
- Microsoft Windows 2000 Workstation SP2
- Microsoft Windows NT 4.0
- Microsoft Windows NT 4.0 SP1
- Microsoft Windows NT 4.0 SP2
- Microsoft Windows NT 4.0 SP3
- Microsoft Windows NT 4.0 SP4
- Microsoft Windows NT 4.0 SP5
- Microsoft Windows NT 4.0 SP6
- Microsoft Windows NT 4.0 SP6a
Microsoft Exchange Server 5.5 SP1
- Microsoft BackOffice 4.5
- Microsoft Windows 2000 Workstation
- Microsoft Windows 2000 Workstation SP1
- Microsoft Windows 2000 Workstation SP2
- Microsoft Windows NT 4.0
- Microsoft Windows NT 4.0 SP1
- Microsoft Windows NT 4.0 SP2
- Microsoft Windows NT 4.0 SP3
- Microsoft Windows NT 4.0 SP4
- Microsoft Windows NT 4.0 SP5
- Microsoft Windows NT 4.0 SP6
- Microsoft Windows NT 4.0 SP6a
Microsoft Exchange Server 5.5
- Microsoft BackOffice 4.5
- Microsoft Windows 2000 Workstation
- Microsoft Windows 2000 Workstation SP1
- Microsoft Windows 2000 Workstation SP2
- Microsoft Windows NT 4.0
- Microsoft Windows NT 4.0 SP1
- Microsoft Windows NT 4.0 SP2
- Microsoft Windows NT 4.0 SP3
- Microsoft Windows NT 4.0 SP4
- Microsoft Windows NT 4.0 SP5
- Microsoft Windows NT 4.0 SP6
- Microsoft Windows NT 4.0 SP6a 详细描述
Microsoft Exchange Server包含Internet Mail Connector (IMC)组件允许Exchange server与远程SMTP服务器通信，这个组件存在漏洞允许远程攻击者在Exchange server服务器上执行任意代码。
当IMC服务接收到来自连接SMTP服务器的SMTP EHLO协议命令时，会通过类似下面的状态应答进行响应：
250-<Exchange server ID>Hello<Connecting server ID>
这里的<Exchange server ID>是Exchange server的FQDN名，而<Connecting server ID>是FQDN或者初始化连接SMTP服务器的IP地址，如果Exchange5.5 IMC能够通过反向DNS解析的话就使用FQDN，如果不能反向解析或者不能连接通过解析的IP地址就使用指定IP地址。
问题是由于IMC代码中在产生EHLO协议命令应答时缺少缓冲边界检查，如果信息的总长度超过一定值，数据就可能覆盖缓冲，攻击者可以提供超长的FQDN值触发漏洞。
FQDN的外部数据通过反向解析获得，要利用这个漏洞，攻击者需要控制服务器，映射一超长长度的IP地址作为PTR主机名，要在这个IP地址中包含要覆盖的返回地址和嵌入SHELLCODE，使的攻击难度增加。
测试代码
无
解决方案
通过如下方法关闭当产生EHLO应答时不使用反向解：
http://support.microsoft.com/default.aspx?scid=kb;EN-US;q190026
补丁下载：
Microsoft has released a patch:
Microsoft Exchange Server 5.5 SP4:
Microsoft Patch Q326322
http://download.microsoft.com/download/exch55/Patch/05.05.59.2656/NT45/EN-US/Q326322enui386.EXE
For Exchange Server 5.5 SP4 running on Microsoft Windows NT4 / 2000.
相关信息
参考：http://support.microsoft.com/default.aspx?scid=kb;EN-US;q190026
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS02-037.asp
http://archives.neohapsis.com/archives/bugtraq/2002-07/0289.html
|
