Exim 4.99.3-s on kõrvaldatud haavatavus, mis võimaldab kauguselt koodi täitmist kasutades GnuTLS-i.

Eximi e-posti serveri arendajad on välja andnud parandusväljaande Exim 4.99.3, mis kõrvaldab haavatavuse mõnedes e-posti agendi konfiguratsioonides. Probleem on siseselt identifitseeritud kui EXIM-Security-2026-05-01.1; ametlikus teates on see ka mainitud kui CVE-TBD.

Haavatavus kuulub klassi Kaugkasutamine pärast vabanemist ja avaldub sõnumi sisu analüüsimisel BDAT TLS-i kaudu töötamisel GnuTLS. BDAT kasutatakse SMTP laienduses CHUNKING sõnumi sisu edastamiseks plokkidena. Eximi kirjelduse kohaselt võib viga tekkida, kui klient edastab BDAT-i ajal TLS-i teate close_notify enne sisu edastamise lõpetamist, seejärel lisatakse sama TCP-ühenduse raames lisabait.

Selline järjestus võib viia Eximi andmete kirjutamiseni mälu puhvrisse, mis on juba vabastatud TLS-seansi lõpus. See põhjustab kuhja kahjustuse ja võib potentsiaalselt võimaldada koodi täitmist. Teates rõhutatakse, et ründajale piisab TLS-ühenduse loomise võimalusest ja SMTP laienduse kasutamisest CHUNKING / BDAT.

Probleem mõjutab Exim 4.97, 4.98, 4.99, 4.99.1 ja 4.99.2, kuid ainult koos olekuga, mis toetab GnuTLS. Ametlikes dokumentides on see formuleeritud kui konfiguratsioonid, kus on USE_GNUTLS=yes; versioonid, mis kasutavad OpenSSL või muid TLS-raamatukogusid, ei ole selle haavatavuse all. Samuti on Eximi teates selgelt öeldud, et haavatavad konfiguratsioonid, kus on deklareeritud STARTTLS ja CHUNKING.

Parandus on kaasatud Exim 4.99.3. Arendajate kirjelduse kohaselt tagab patch sisendi töötlemise virna puhastamise ajal TLS close_notify saamise korral aktiivse BDAT-i edastamise ajal, mis takistab vanade viidete edasist kasutamist. Teiste teadaolevate meetodite kohta probleemi täielikuks lahendamiseks, peale uuendamise, soovitustes ei ole.

Eximi arendajad said vea rapordi 1. mai 2026 Federico Kirschbaumilt XBOW Security. Pärast raporti kontrollimist töötati parandus välja suletud hoidlates, 7. mail teavitati jaotust probleemist kaudu suletud postiloendisse, 10. mail anti nendele piiratud juurdepääs parandustele ning 12. mai 2026 toimus soovituste ja parandusväljaande avaldamine.

E-posti serverite administraatoritel soovitatakse kontrollida kasutatavat Eximi versiooni ja TLS-i tausta. server töötleb Exim versioonidel 4.97 kuni 4.99.2, koos GnuTLS-iga ja kuulutab STARTTLS koos CHUNKING-iga, Exim projekti soovitus on liikuda võimalikult kiiresti Exim 4.99.3 või uuemale versioonile. Parandatud lähtekoodid on saadaval haru exim-4.99+fixes ja sildi exim-4.99.3 all, samuti tavapärastel Eximi failide allalaadimise platvormidel.

Allikas: linux.org.ru