Lỗi tràn bộ đệm ngăn xếp từ xa trong Symantec Messaging Gateway cho phép thực thi mã với quyền root

Một lỗ hổng tràn bộ đệm tồn tại trong Symantec Messaging Gateway phiên bản 10.5 và các phiên bản cũ hơn. Kẻ tấn công từ xa, ẩn danh có thể khai thác lỗ hổng này để thực thi mã từ xa với quyền root.

• Bản ghi CNA/NVD xác định Symantec Messaging Gateway trên Linux bị ảnh hưởng từ phiên bản 0 đến và bao gồm 10.5; trạng thái mặc định ngoài phạm vi được nêu là không bị ảnh hưởng.
• Advisory của Exodus Intelligence mô tả phạm vi là 9.5 và cũ hơn, khác với ranh giới 10.5 trong dữ liệu CNA/NVD. Do ranh giới có cấu trúc rộng hơn được ghi nhận trong hồ sơ, nên dùng 10.5 và cũ hơn để sàng lọc ban đầu, sau đó xác minh phiên bản thực tế với nguồn cung cấp sản phẩm.
• Advisory cũng mô tả sản phẩm là end-of-life. Không có phiên bản sửa lỗi cụ thể được xác nhận trong bản ghi hoặc trong các nguồn đã kiểm tra.

Symantec Messaging Gateway chứa lỗi tràn bộ đệm trên ngăn xếp trong thư viện libdec2lha.so. Dữ liệu do kẻ tấn công kiểm soát có thể kích hoạt lỗi khi dịch vụ xử lý yêu cầu qua mạng, nhưng bằng chứng hiện có không xác định trường giao thức, thông điệp hoặc hàm cụ thể gây tràn bộ đệm. Lỗ hổng có thể bị khai thác từ xa bởi người dùng ẩn danh, không cần đặc quyền hoặc tương tác của người dùng, và việc thực thi mã xảy ra với quyền root. Chi tiết công khai chưa cho biết chính xác điều kiện cấu hình, dịch vụ lắng nghe hoặc chuỗi dữ liệu cần thiết để kích hoạt lỗi.

Lỗ hổng có thể tiếp cận qua mạng và không yêu cầu xác thực, đặc quyền ban đầu hoặc tương tác của người dùng. Dữ liệu đánh giá ghi nhận độ phức tạp khai thác thấp. Bản ghi chuẩn hóa không xác nhận khai thác thực tế và đánh dấu public_exploit là false; phần làm giàu của CISA trong dữ liệu được trả về ghi nhận trạng thái khai thác là none, nhưng điều này không chứng minh rằng chưa từng có khai thác ở mọi môi trường. Một advisory công khai tồn tại, nhưng bằng chứng được kiểm tra không chứa payload, các bước khai thác hoặc exploit công khai có thể tái sử dụng.

Lỗ hổng cho phép thực thi mã từ xa với quyền root trên hệ thống chạy Symantec Messaging Gateway. Vì kẻ tấn công không cần xác thực hoặc tương tác của người dùng, một hệ thống có thể tiếp cận từ mạng không tin cậy có nguy cơ bị kiểm soát mà không cần tài khoản hợp lệ. Hậu quả kỹ thuật có thể bao gồm đọc hoặc sửa dữ liệu, thay đổi cấu hình, can thiệp vào tiến trình và làm gián đoạn dịch vụ. Mức độ lan rộng sau khi chiếm được gateway phụ thuộc vào các kết nối, quyền và phân đoạn mạng của môi trường; bằng chứng hiện có không xác nhận một đường đi cụ thể sang hệ thống khác.

• Kiểm soát máy chủ: Thực thi mã với quyền root có thể cho phép kẻ tấn công thay đổi phần mềm, cấu hình và dữ liệu trên hệ thống chạy gateway.
• Bí mật và toàn vẹn dữ liệu: Kẻ tấn công có thể có khả năng truy cập hoặc sửa dữ liệu mà gateway xử lý, tùy thuộc vào quyền và kết nối của hệ thống trong môi trường triển khai.
• Gián đoạn dịch vụ: Việc kiểm soát tiến trình hoặc máy chủ có thể dẫn đến dừng dịch vụ, xử lý thư không ổn định hoặc mất khả dụng.
• Giới hạn: Bằng chứng hiện có xác nhận khả năng thực thi mã với quyền root, nhưng không xác nhận một vụ xâm nhập, nạn nhân cụ thể, dữ liệu cụ thể bị lấy cắp hoặc chiến dịch khai thác nào.

1. Ưu tiên loại bỏ hoặc thay thế sản phẩm: Advisory được kiểm tra cho biết Symantec Messaging Gateway đã end-of-life và không có bản vá. Hãy lập kế hoạch chuyển sang sản phẩm được hỗ trợ hoặc ngừng triển khai các phiên bản nằm trong phạm vi ảnh hưởng.
2. Xác minh trạng thái bản vá: Bản ghi chuẩn hóa đánh dấu patch_available là true nhưng không cung cấp solution hoặc phiên bản sửa lỗi cụ thể. Không nên coi cờ này là bằng chứng của một bản phát hành đã khắc phục; hãy xác nhận trực tiếp với nguồn cung cấp sản phẩm trước khi triển khai thay đổi.
3. Giảm phơi nhiễm trong thời gian chuyển đổi: Nếu chưa thể loại bỏ ngay, hạn chế khả năng nhận kết nối từ mạng không tin cậy và áp dụng các kiểm soát truy cập mạng phù hợp. Đây là biện pháp phòng ngừa chung, không phải mitigation cụ thể đã được nhà cung cấp xác nhận trong bằng chứng hiện có.
4. Xác minh từng nhánh triển khai: Đối chiếu phiên bản, nền tảng và vai trò mạng của từng hệ thống với phạm vi 0 đến 10.5 trong Affected Summary. Không suy ra rằng các nhánh hoặc bản phát hành song song không được nêu tên là an toàn.

1. Kiểm kê mọi máy chủ và appliance đang chạy Symantec Messaging Gateway, gồm phiên bản cài đặt, nền tảng và vị trí mạng.
2. Đối chiếu phiên bản thực tế với phạm vi bị ảnh hưởng trong mục Affected Summary; không coi việc không thấy cảnh báo là bằng chứng hệ thống an toàn.
3. Xác nhận các hệ thống có sử dụng thư viện libdec2lha.so và xác định dịch vụ nào có thể nhận dữ liệu từ mạng. Bằng chứng hiện có không nêu endpoint hoặc định dạng thông điệp cụ thể.
4. Rà soát log và telemetry để tìm lỗi tiến trình, restart bất thường hoặc hành vi bất thường của dịch vụ như các dấu hiệu phòng thủ chung, không phải IOC đã được xác nhận.
5. Xác định các triển khai có thể nhận kết nối ẩn danh từ mạng không tin cậy. Không có IOC cụ thể hoặc log event đặc thù nào được cung cấp trong bằng chứng hiện có.