Der korrigerende udgave af postserveren Exim 4.99.1 er offentliggjort, som løser en sårbarhed (CVE-2025-67896), der gør det muligt for en fjernangriber at beskadige hukommelsesindhold uden for den tildelte buffer. Problemet kan potentielt anvendes til fjernkørsel af kode på serveren, men en fungerende exploit er endnu ikke udviklet.
Sårbarheden findes i koden til håndtering af den interne database (Hints DB) baseret på SQLite, der anvendes til at opbevare midlertidige oplysninger, status for meddelelseslevering og oplysninger om intensiteten af e-mailafsendelse. Problemet skyldes, at poster fra databasen direkte blev konverteret til den interne struktur «dbdata_ratelimit_unique» uden korrekt validering. Der opstod en situation, hvor der blev oprettet et fast array «bloom» på 40 byte, og indholdet af feltet «bloom_size», der bestemmer antallet af elementer, der skrives i arrayet, afhænger af størrelsen på dataene i databasen. Angriberen kunne forårsage, at der blev skrevet uden for den tildelte buffer ved at placere data i databasen (ved at bruge en anden sårbarhed), så «bloom_size» fik en værdi, der var klart større end størrelsen på arrayet.
Problemet optræder i versionerne Exim 4.99 og 4.98.2 og berører kun konfigurationer med ACL ratelimit, hvor der anvendes parametre «unique» eller «per_addr» (for eksempel «warn ratelimit = 100 / 1h / per_addr / $sender_address» eller «warn ratelimit = 100 / 1h / per_rcpt / unique=$sender_address»). Desuden skal Exim være bygget med støtte til SQLite (USE_SQLITE=yes), som er aktiveret i konfigurationsfilen (hints_database = sqlite). I de sårbare konfigurationer vises «Hints DB: Using sqlite3», når «exim -bV» køres.
De problematiske versioner blev anvendt i store distributioner som Debian 13, Ubuntu 25.10, SUSE/openSUSE, Arch Linux, Fedora og FreeBSD. RHEL og afledte distributioner er ikke berørt af problemet, da Exim ikke indgår i deres standardpakke-repository (opdateringen til exim-pakken er endnu ikke offentliggjort i EPEL).
Der er også registreret en ny vektor for udnyttelse af sårbarheden CVE-2025-26794, der blev rettet i februars udgave af Exim 4.98.1. Sårbarheden muliggør SQL-injektion i den interne database (Hints DB). Den tidligere indsendte rettelse undgik at undslippe enkeltanførselstegn. Eksempel på MAIL FROM-kommandoen, der fører til SQL-injektion: «MAIL FROM:<«x’/****/UNION/****/SELECT/****/X'<hex_blob>’—«@attacker.com>». Denne sårbarhed kan bruges som et startpunkt for at skabe betingelserne for den nævnte buffer overflow.
Kilde: opennet.ru
