Postiserveri Exim 4.99.1 värskendus, mis kõrvaldab haavatavuse

Avaldatud on Exim 4.99.1 meilirakenduse parandav väljaanne, milles on kõrvaldatud haavatavus (CVE-2025-67896), mis võimaldab ründajal kaugelt rikutud mälu sisu. Probleem võib potentsiaalselt võimaldada kaugtegevust serveris, kuid toimiva eksploodi jaoks pole seni ette valmistatud.

Haavatavus esineb SQLite põhjal töötavas siseandmebaasi (Hints DB) koodis, mida kasutatakse ajutise teabe, sõnumite edastamise oleku ja e-kirjade saatmise intensiivsuse teabe salvestamiseks. Probleem on tingitud sellest, et andmebaasi kirjed muundati otse sise struktuuri „dbdata_ratelimit_unique” ilma nõuetekohase kontrollita. Tekib olukord, kus luuakse fikseeritud massiiv „bloom”, mille suurus on 40 baiti, ning välja „bloom_size”, mis määrab massiivi elementide arvu, sõltus andmebaasi andmete suurusest. Ründaja võis korraldada kirjutamise väljapoole eraldatud puhversalvest, paigutades andmebaasi andmed (kasutades veel üht haavatavust), mille korral väli „bloom_size” võttis väärtuse, mis oli selgelt suurem kui massiivi suurus.

Probleem ilmneb Exim versioonides 4.99 ja 4.98.2 ning mõjutab ainult ACL ratelimit konfiguratsioone, kus kasutatakse parameetreid "unique" või "per_addr" (näiteks "warn ratelimit = 100 / 1h / per_addr / $sender_address" või "warn ratelimit = 100 / 1h / per_rcpt / unique=$sender_address"). Lisaks peab Exim olema rikutud SQLite toe (USE_SQLITE=yes) aktiviseerimisega konfigureeritud (hints_database = sqlite). Haavatavates konfiguratsioonides käivitamisel "exim -bV" kuvatakse "Hints DB: Using sqlite3".

Suurtes distributsioonides on probleemsed versioonid kasutusel Debian 13, Ubuntu 25.10, SUSE/openSUSE, Arch Linux, Fedora ja FreeBSD. RHEL ja selle derivatives ei ole probleemile vastuvõtlikud, kuna Exim ei kuulu nende põhirepositoriumisse (EPEL-is pole Eximi paketi uuendust veel avaldatud).

Samuti on tuvastatud uus vektor haavatavuse CVE-2025-26794 ärakasutamiseks, mis parandati Exim 4.98.1 veebruari versioonis. Haavatavus võimaldab SQL-koodi sisestamist sisemisse andmebaasi (Hints DB). Varasemalt lisatud paranduses ei olnud ühekordseid jutumärke õigesti escape'itud. Näide MAIL FROM käsust, mis toob kaasa SQL-koodi sisestamise: «MAIL FROM:<«x’/**/UNION/**/SELECT/**/X'<hex_blob>’—«@attacker.com>». Seda haavatavust saab kasutada algpunktina ülaltoodud puhverülekoormuse tingimuste loomisel.

Allikas: opennet.ru