[ml] Re: postfix ed exchange

On Tue, Feb 01, 2005 at 06:24:48PM +0100, m.brogioni@xxxxxxxxxxxxx wrote:

> Permetterebbe (teoricamente) di essere sfruttata per passare dalla DMZ
> alla LAN solo in presenza di queste condizioni:
> 
> - postfix in mano all'attaccante (o perlomeno l'attaccante e' in grado
> di lanciare comandi arbitrari)

Riduttivo.  Non e'  necessario per  forza compromettere  il postfix;  un
accesso con privilegi di amministrazione  (o per lo meno la possibilita'
di  creare traffico  arbitrario) a  L2 (quindi  tipicamente in  dmz) con
il  postfix  ti  permette  _facilmente_ di  falsificare  traffico  verso
l'exchange  in lan  come se  venisse  dal postfix  (vedi arp  poisoning,
spoofing, traffic injection). Sempre che  non parlassimo di traffico vpn
tra exchange e postfix, ma non mi sembrava.

Ovviamente  questi  metodi, poste  le  condizioni  iniziali, si  possono
utilizzare anche  per attaccare  l'exchange con  connessioni provenienti
dalla  lan  verso  la dmz.  

Lo storico pero'  ci dice che, salvo le problematiche  legate al parsing
delle email &  co (indipendenti dal flusso della  connessione, basta che
gli arrivino :),  molte delle vulnerabilita' fin  qui trovate richiedono
un accesso/connessione  verso l'exchange (vedi  overflow su auth  & co),
non una connessione generata dallo stesso .

Questo ovviamente non  esclude che ve ne siano  n-mila sfruttabili anche
con connessioni uscenti, anzi, probabilmente si e' fatta meno ricerca in
questo campo :)

> - exchange con servizio SMTP inattivo o crashato, ipotesi piuttosto
> rara, visibile come se fosse illuminata da un 	riflettore da cinema
> visto che tutta la mail si fermerebbe (e comunque da monitorare
> strettamente)

Per come  la vedo  io, il  rischio piu' grosso  e' proprio  l'attacco ad
exchange stesso sulla porta 25.  

Sono due step (compromissione server in dmz, compromissione di exchange)
che  richiedono di  poter sfruttare  due o  piu' vulnerabilita'  diverse
(salvo casi in cui il server di posta in dmz sia anche un exchange, con
le stesse vulnerabilita' dell'exchange sulla lan :)

E' piu'  sicuro che  avere accesso all'exchange  in lan  direttamente da
internet (anche se capita spesso di  vedere macchine exchange in lan con
bastion  host di  posta  in dmz,  ma accesso  da  internet alla  webmail
direttamente sul primo <g>)

> Onestamente, secondo me e' molto piu' semplice arrivare sulla LAN
> interna "convincendo" qualcuno a scaricarsi qualche porcata via web
> (cosa che gli utenti normali sono bravissimi a fare da soli).

Of course.

> A parer mio la sicurezza e' anche valutare le cose per il peso reale che
> hanno, applicando i principi "sacri" alla realta'.

Concordo. La domanda posta mi sembrava molto semplice:

- ho un exchange in lan e un postfix in dmz
- ho  una maniera _comoda_  e _testata_ per fare  in modo che  il flusso
  delle connessioni  per il passaggio  della posta siano  dall'exchange al
  postfix?


> -----Messaggio originale-----

Ps: vi pregherei di quotare inline e non a fine messaggio:
http://wiki.news.nic.it/QuotarBene

bye
Koba (moderatore)