Обновление Exim 4.97.1 с добавлением защиты от атаки SMTP Smuggling

Доступен корректирующий выпуск почтового сервера Exim 4.97.1, в котором включены изменения для защиты от атаки SMTP Smuggling, позволяющей расщепить одно сообщение на несколько разных сообщений через использование нестандартной последовательности для разделения писем. Изначально предполагалось, что проблема проявляется только в postfix и sendmail, но позднее выяснилось, что она затрагивает и Exim (CVE-2023-51766).

Exim может обрабатывать в качестве разделителя сообщений последовательности «\n.\n», «\r\n.\n» и «\n.\r\n», если на сервере для входящих соединений включена поддержка расширений «PIPELINING» и «CHUNKING». В исправлении добавлена настройка strict_crlf, позволяющая вернуть возможность обработки нестандартных последовательностей. В качестве обходного пути защиты можно отключить расширение «PIPELINING» или «CHUNKING», используя настройки pipelining_advertise_hosts, pipelining_connect_advertise_hosts и chunking_advertise_hosts.

Источник: opennet.ru