【漏洞通告】Fail2ban 遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2021-32749)
0x00 漏洞概述
0x01 漏洞詳情
Fail2Ban是一款免費(fèi)軟件，主要用于禁止多次認(rèn)證錯(cuò)誤的主機(jī)。
近日，F(xiàn)ail2ban被披露存在一個(gè)遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2021-32749)，其CVSSv3評(píng)分為8.1。由于Fail2ban中存在安全問(wèn)題，導(dǎo)致郵件操作mail-whois中可能存在遠(yuǎn)程代碼執(zhí)行漏洞。
如果在foreign輸入中(例如在whois輸出中)有未轉(zhuǎn)義的序列(\n~)，則在mail-whois等郵件操作中使用的mailutils包中的命令mail可以執(zhí)行命令。但要利用該漏洞，攻擊者需要在whois服務(wù)器發(fā)送的響應(yīng)中插入惡意字符，這可以通過(guò)MITM攻擊或接管whois服務(wù)器實(shí)現(xiàn)。
影響范圍
Fail2ban <= 0.9.7
Fail2ban <= 0.10.6
Fail2ban <= 0.11.2
0x02 處置建議
目前此漏洞已經(jīng)修復(fù)。建議及時(shí)更新至Fail2ban 0.10.7 和 0.11.3或更高版本。
下載鏈接：https://github.com/fail2ban/fail2ban
緩解措施
避免使用mail-whois操作(使用mailx、bsd-mailx等替代包)或手動(dòng)修補(bǔ)漏洞。
0x03 參考鏈接
https://github.com/fail2ban/fail2ban
https://github.com/fail2ban/fail2ban/security/advisories/GHSA-m985-3f3v-cwmm
https://nvd.nist.gov/vuln/detail/CVE-2021-32749
0x04 更新版本
0x05 文檔附錄
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
NVD：nvd.nist.gov
CVSS：www.first.org
原文來(lái)源：維他命安全
