Exim 4.92.1 värskendus, mis kõrvaldab turvaaugu

Avaldatud ettemeeritust postiserveri väljalase Exim 4.92.1 kus on kõrvaldatud kriitiline haavatavus (CVE-2019-13917), mis võimaldab korraldada kaugarvutusõigust (root) teatud spetsiifiliste seadete korral.

Haavatavus ilmneb alates versioonist 4.85, kui kasutatakse operaatori ${sort } seadeid, võib rünnakule allutada loendis 'sort' kasutatavad elemendid (nt läbi muutuja $local_part ja $domain). Vaikimisi ei rakendata seda operaatorit Eximi põhikonfiguratsioonis ega Debian ja Ubuntu pakettides (ilmselt ka muudes jaotustes). Oma süsteemi haavatavuse kontrollimiseks saab kasutada käsku "exim -bP config | grep sort."

Pakettide uuendused haavatavuse kõrvaldamiseks on juba välja antud Debian ja Ubuntu. Uuendused pole veel valmistatud SUSE, Fedora, FreeBSD ja Arch Linux. RHEL ja CentOS probleemile ei esine, kuna Exim ei kuulu nende tavalisse pakirepositooriumisse (vajadusel installitakse repositorist epel).

Allikas: opennet.ru