 |
||
| ALERTAS | ||
Dos vulnerabilidades de EXIM permiten ejecutar código arbitrario o causar un ataque DoSPublicado el: 28/11/2017 El Equipo de Respuesta a incidentes del Centro Criptológico Nacional, CCN-CERT, alerta sobre la aparición de dos vulnerabilidades que afectan a las siguientes versiones 4.88 y 4.89 de EXIM, un servidor de correo por defecto de la distribución Debian GNU/Linux. Se calcula que en España existen unos 20.000 equipos expuestos a esta vulnerabilidad. Vulnerabilidades Las vulnerabilidades detectadas son las siguientes: 1) CVE-2017-16943: La función receive_msg en receive.c del servicio SMTP permite a los atacantes remotos ejecutar código arbitrario o causar una denegación de servicio (sin uso posterior) a través de vectores que incluyen comandos BDAT. Referencias:
2) CVE-2017-16944: La función receive_msg en receive.c del servicio SMTP permite a los atacantes remotos causar una denegación de servicio (bucle infinito y agotamiento de la pila) a través de vectores que incluyen comandos BDAT y una comprobación inadecuada de un carácter '.' que significa el final del contenido, relacionado con la función bdat_getc. Referencias:
Medidas paliativas El CCN-CERT recomienda actualizar a la versión 4.90 de Exim, que cuenta ya con un parche: https://github.com/Exim/exim Del mismo modo, conviene añadir 'chunking_advertise_hosts =' al archivo de configuración y verificar que CHUNKING no responda después de un comando EHLO. Atentamente, Equipo CCN-CERT ////////////////////////////////////////////////////////////////////////////////////////// Esta es una lista de notificaciones del CCN-CERT. Por favor, no responda a este correo. Si necesita más información, póngase en contacto con nosotros a través del correo: Síganos en:
////////////////////////////////////////////////////////////////////////////////////////// El CCN-CERT (www.ccn-cert.cni.es) es la Capacidad de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional, CCN (www.ccn.cni.es). Este servicio se creó en el año 2006 como CERT Gubernamental/Nacional español y sus funciones quedan recogidas en la Ley 11/2002 reguladora del Centro Nacional de Inteligencia, el RD 421/2004 regulador del CCN y en el RD 3/2010, de 8 de enero, regulador del Esquema Nacional de Seguridad (ENS), modificado por el RD 951/2015 de 23 de octubre. De acuerdo a todas ellas, es competencia del CCN-CERT la gestión de ciberincidentes que afecten a sistemas del Sector Público, a empresas y organizaciones de interés estratégico para el país y a cualquier sistema clasificado. Su misión, por tanto, es contribuir a la mejora de la ciberseguridad española, siendo el centro de alerta y respuesta nacional que coopere y ayude a responder de forma rápida y eficiente a los ciberataques y a afrontar de forma activa las ciberamenazas. --------------------- ////////////////////////////////////////////////////////////////////////////////////////// AVISO DE CONFIDENCIALIDAD: |
||
| © 2017 Centro Criptológico Nacional, Argentona 30, 28023 MADRID | ||
