Se ha publicado una versión corregida del servidor de correo Exim 4.99.1, que resuelve una vulnerabilidad (CVE-2025-67896), permitiendo que un atacante remoto pueda comprometer el contenido de la memoria fuera del búfer asignado. Potencialmente, este problema podría ser utilizado para la ejecución remota de código en el servidor, aunque hasta ahora no se ha preparado un exploit funcional.
La vulnerabilidad se encuentra en el código que maneja la base de datos interna (Hints DB) basada en SQLite, utilizada para almacenar información temporal, el estado de entrega de mensajes y datos sobre la intensidad del envío de correos. El problema surge porque los registros de la base de datos se transformaban directamente en la estructura interna "dbdata_ratelimit_unique" sin la verificación adecuada. Esto llevaba a la creación de un arreglo fijo "bloom" de 40 bytes, mientras que el contenido del campo "bloom_size", que determina la cantidad de elementos escritos en el arreglo, dependía del tamaño de los datos en la base de datos. Un atacante podría forzar una escritura fuera del búfer asignado, insertando en la base de datos datos (usando otra vulnerabilidad) que hacían que el campo "bloom_size" tomara un valor considerablemente mayor que el tamaño del arreglo.
El problema se presenta en las versiones Exim 4.99 y 4.98.2, y afecta únicamente a configuraciones con ACL ratelimit que utilizan los parámetros "unique" o "per_addr" (por ejemplo, "warn ratelimit = 100 / 1h / per_addr / $sender_address" o "warn ratelimit = 100 / 1h / per_rcpt / unique=$sender_address"). Además, para llevar a cabo el ataque, Exim debe ser compilado con soporte para SQLite (USE_SQLITE=yes), habilitado en el archivo de configuración (hints_database = sqlite). En la configuración vulnerable, al ejecutar "exim -bV" se muestra "Hints DB: Using sqlite3".
Entre las principales distribuciones afectadas se encuentran Debian 13, Ubuntu 25.10, SUSE/openSUSE, Arch Linux, Fedora y FreeBSD. RHEL y sus derivados no están afectados, ya que Exim no forma parte de su repositorio de paquetes estándar (en EPEL, la actualización del paquete exim aún no ha sido publicada).
También se ha detectado un nuevo vector para explotar la vulnerabilidad CVE-2025-26794, corregida en la versión de febrero Exim 4.98.1. Esta vulnerabilidad permite la inyección de código SQL en la base de datos interna (Hints DB). La corrección previamente añadida no escapaba las comillas simples. Un ejemplo de comando MAIL FROM que provoca la inyección de código SQL es: «MAIL FROM:<«x’/****/UNION/****/SELECT/****/X'<hex_blob>’—«@attacker.com>». Esta vulnerabilidad puede ser utilizada como un punto de partida para crear condiciones que provoquen el desbordamiento del búfer mencionado anteriormente.
Fuente: opennet.ru
