Une version corrective du serveur de messagerie Exim 4.99.1 a été publiée, corrigeant une vulnérabilité (CVE-2025-67896) permettant à un attaquant distant de corrompre le contenu de la mémoire en dehors du tampon alloué. Le problème pourrait potentiellement être exploité pour exécuter du code à distance sur le serveur, mais aucun exploit opérationnel n'est encore disponible.
La vulnérabilité est présente dans le code gérant la base de données interne (Hints DB) basée sur SQLite, utilisée pour stocker des informations temporaires, l'état de livraison des messages et les données d'intensité d'envoi des e-mails. Le problème provient du fait que les enregistrements de la base de données étaient directement convertis en la structure interne « dbdata_ratelimit_unique » sans vérification appropriée. Une situation se présentait où un tableau fixe « bloom » de 40 octets était créé, et le contenu du champ « bloom_size », déterminant le nombre d'éléments écrits dans le tableau, dépendait de la taille des données dans la base de données. Un attaquant pouvait provoquer une écriture au-delà du tampon alloué en plaçant dans la base de données des données (en utilisant une autre vulnérabilité) pour lesquelles le champ « bloom_size » prenait une valeur délibérément supérieure à la taille du tableau.
Le problème se manifeste dans les versions Exim 4.99 et 4.98.2, et ne concerne que les configurations avec ACL ratelimit, utilisant les paramètres « unique » ou « per_addr » (par exemple, « warn ratelimit = 100 / 1h / per_addr / $sender_address » ou « warn ratelimit = 100 / 1h / per_rcpt / unique=$sender_address »). De plus, pour qu'une attaque réussisse, Exim doit être compilé avec le support SQLite (USE_SQLITE=yes), activé dans le fichier de configuration (hints_database = sqlite). Dans une configuration vulnérable, lors de l'exécution de « exim -bV », il est affiché « Hints DB: Using sqlite3 ».
Parmi les grandes distributions, les versions problématiques étaient utilisées dans Debian 13, Ubuntu 25.10, SUSE/openSUSE, Arch Linux, Fedora et FreeBSD. Les distributions RHEL et dérivées ne sont pas affectées par ce problème, car Exim n'est pas inclus dans leur dépôt de paquets officiel (dans EPEL, la mise à jour du paquet exim n'a pas encore été publiée).
Un nouveau vecteur d'exploitation de la vulnérabilité CVE-2025-26794 a également été identifié, résolu dans la version d'Exim 4.98.1 de février. Cette vulnérabilité permet l'injection de code SQL dans la base de données interne (Hints DB). Le correctif ajouté précédemment n'échappait pas les apostrophes. Un exemple de commande MAIL FROM, conduisant à une injection SQL : « MAIL FROM:<«x’/****/UNION/****/SELECT/****/X'<hex_blob>’—«@attacker.com>». Cette vulnérabilité peut être utilisée comme point de départ pour provoquer le débordement de tampon décrit ci-dessus.
Source : opennet.ru
