Début septembre, les développeurs du serveur de messagerie Exim ont informé les utilisateurs d'une vulnérabilité critique identifiée (CVE-2019-15846), permettant à un attaquant local ou distant d'exécuter son code sur le serveur avec des droits root. Il a été recommandé aux utilisateurs d'Exim d'installer une mise à jour d'urgence vers la version 4.92.2.
Le 29 septembre, une autre version d'urgence d'Exim 4.92.3 a été publiée pour corriger une nouvelle vulnérabilité critique (CVE-2019-16928), permettant l'exécution de code à distance sur le serveur. La vulnérabilité se manifeste après un abaissement de privilèges et est limitée à l'exécution de code avec les droits d'un utilisateur non privilégié sous lequel le gestionnaire de messages entrants fonctionne.
Les utilisateurs sont vivement encouragés à installer la mise à jour immédiatement. Le correctif a été publié pour Ubuntu 19.04, Arch Linux, FreeBSD, Debian 10 et Fedora. Sur RHEL et CentOS, Exim ne fait pas partie du dépôt de paquets standard. Sur SUSE et openSUSE, la branche Exim 4.88 est utilisée.
Source : linux.org.ru
