Después de ocho meses de desarrollo, se ha publicado la versión del servidor de correo Exim 4.98, que incluye correcciones acumuladas y nuevas funcionalidades. El código del proyecto está escrito en el lenguaje C y se distribuye bajo la licencia GPLv2+. Según una encuesta automatizada de junio realizada a alrededor de 400 mil servidores de correo, la cuota de Exim es del 59.06% (hace un año era del 55.93%), Postfix se utiliza en el 34.68% (37.40%) de los servidores de correo, Sendmail — 3.42% (3.45%), MailEnable — 1.81% (1.86%), MDaemon — 0.37% (0.48%), Microsoft Exchange — 0.17% (0.25%).
Principales cambios:
- Se ha corregido una vulnerabilidad (CVE-2024-39929), causada por un análisis incorrecto de los nombres de archivos en los adjuntos de correo. Esta vulnerabilidad permite evadir filtros que utilizan la variable $mime_filename y conseguir la transmisión de archivos ejecutables en los adjuntos, a pesar de su bloqueo en la configuración.
- En el ACL aplicable a los datos, las variables del comando DATA permiten el uso de la condición dkim_status, que permite evaluar el resultado de la verificación mediante el mecanismo DKIM (DomainKeys Identified Mail).
- Al habilitar la configuración dkim_verbose, que registra información adicional de depuración sobre el funcionamiento de DKIM, se proporciona información sobre las firmas digitales.
- En la opción dkim_timestamps, que controla la inclusión en la firma de información temporal, se permite especificar el valor '0' para añadir la hora actual.
- En la opción recipients_max, que define el límite en el número de destinatarios para un solo mensaje, se permite el uso de sustituciones y patrones.
- Al probar expresiones mediante el comando 'exim -be', se ha proporcionado la posibilidad de establecer valores tainted (valores derivados de fuentes externas, como los establecidos por el remitente del correo).
- Se ha añadido soporte para el procesamiento y registro del evento 'dns:fail', que ocurre cuando hay un error en la consulta a las listas DNSBL.
- En los bloques de búsqueda dsearch, se ha añadido soporte para la búsqueda mediante una ruta de archivo incompleta ('${lookup {foo/bar} dsearch,key=path {/etc}}').
- Se incluye la utilidad mailtest para la verificación y diagnóstico de la conexión SMTP.
- Se ha implementado el soporte para la extensión SMTP WELLKNOWN, mediante la cual el servidor SMTP puede transmitir información pública al cliente, como datos de contacto o parámetros de verificación al recibir un certificado TLS, utilizando el protocolo ACME.
- Se ha añadido la posibilidad de usar SQLite3 para almacenar bases de datos internas, además de DBD, NDB, GBDM y TDB. Para utilizar SQLite3 antes de compilar en Local/Makefile, es necesario especificar «USE_SQLITE = y» y «DBMLIB = -lsqlite3».
Fuente: opennet.ru
