След осем месеца разработка бе публикувана версия на пощенския сървър Exim 4.98, която съдържа натрупаните корекции и нови възможности. Кодът на проекта е написан на C и се разпространява под лиценз GPLv2+. Според автоматизирано проучване през юни около 400 хиляди пощенски сървъри, дялът на Exim е 59.06% (преди година 55.93%), Postfix се използва на 34.68% (37.40%) от пощенските сървъри, Sendmail — 3.42% (3.45%), MailEnable — 1.81% (1.86%), MDaemon — 0.37% (0.48%), Microsoft Exchange — 0.17% (0.25%).
Основни промени:
- Устранена е уязвимост (CVE-2024-39929), предизвикана от неправилно парсене на имена на файлове в прикачени пощи. Уязвимостта позволява заобикаляне на филтри, използващи променливата $mime_filename, и пренос на изпълними файлове в приложенията въпреки блокировките им в настройките.
- В ACL, приложим към данни, променливи с команда DATA, е разрешено използването на условие dkim_status, което позволява оценка на резултата от проверката чрез механизма DKIM (DomainKeys Identified Mail).
- При активиране на настройката dkim_verbose, която извежда допълнителна отладъчна информация за работата на DKIM, е осигурен изход на информация за цифрови подписи.
- В опцията dkim_timestamps, която управлява включването на информация за времето в подписа, е разрешено задаването на стойност "0" за добавяне на текущото време.
- В опцията recipients_max, задаваща лимит на брой получатели за едно съобщение, е разрешено използването на замествания и шаблони.
- При тестването на изрази с команда "exim -be" е предоставена възможност за задаване на tainted стойности (стойности, получени отвън, например, зададени от изпращача на писмото).
- Добавена е поддръжка за обработка и логване на събитието "dns:fail", което възниква при неуспешен DNSBL-запитване.
- В lookup-блоковете dsearch е добавена поддръжка за търсене по непълен пълен файл ("${lookup {foo/bar} dsearch,key=path {/etc}}").
- Включена е утилита mailtest за проверка и диагностика на SMTP-съединението.
- Реализирана е поддръжка за SMTP-разширението WELLKNOWN, чрез което SMTP-сървърът може да предава публична информация на клиента, например, контактни данни или параметри за удостоверяване при получаване TLS-сертификат, използвайки протокола ACME.
- Добавена е възможност за използване на SQLite3 за съхранение на вътрешни БД, в допълнение към DBD, NDB, GBDM и TDB. За да се използва SQLite3, преди сборка в Local/Makefile трябва да се зададат "USE_SQLITE = y" и "DBMLIB = -lsqlite3".
Източник: opennet.ru
