{"id":172666,"date":"2026-05-19T00:24:49","date_gmt":"2026-05-18T22:24:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-exim-4-99-3-ustranena-uyazvimost-pozvolyayushhaya-udalyonnoe-vypolnenie-koda-pri-ispolzovanii-gnutls"},"modified":"2026-05-19T00:24:49","modified_gmt":"2026-05-18T22:24:49","slug":"v-exim-4-99-3-ustranena-uyazvimost-pozvolyayushhaya-udalyonnoe-vypolnenie-koda-pri-ispolzovanii-gnutls","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/v-exim-4-99-3-ustranena-uyazvimost-pozvolyayushhaya-udalyonnoe-vypolnenie-koda-pri-ispolzovanii-gnutls","title":{"rendered":"La vuln\u00e9rabilit\u00e9 dans Exim 4.99.3 permettant l'ex\u00e9cution distante de code lors de l'utilisation de GnuTLS a \u00e9t\u00e9 corrig\u00e9e","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les d\u00e9veloppeurs du serveur de messagerie Exim ont publi\u00e9 une version corrective. Exim 4.99.3<\/strong>, corrigeant une vuln\u00e9rabilit\u00e9 dans certaines configurations de l'agent de messagerie. Le probl\u00e8me est r\u00e9f\u00e9renc\u00e9 par l'identifiant interne EXIM-Security-2026-05-01.1<\/strong>; dans l'avis officiel, il est \u00e9galement mentionn\u00e9 comme CVE-TBD<\/strong>.<\/p>\n

La vuln\u00e9rabilit\u00e9 appartient \u00e0 la cat\u00e9gorie Utilisation \u00e0 distance apr\u00e8s lib\u00e9ration<\/strong> et se manifeste lors de l'analyse du corps du message BDAT<\/strong> lors de l'utilisation de TLS via GnuTLS<\/strong>. BDAT est utilis\u00e9 dans l'extension SMTP CHUNKING<\/strong> pour le transfert du corps du message par morceaux. Selon la description d'Exim, l'erreur peut \u00eatre provoqu\u00e9e lorsque le client, lors de la transmission de BDAT, envoie la notification TLS close_notify avant la fin de la transmission du corps, puis ajoute un octet suppl\u00e9mentaire dans le m\u00eame TCP.<\/p>\n

Dans une telle s\u00e9quence, Exim peut \u00e9crire des donn\u00e9es dans un tampon m\u00e9moire qui avait d\u00e9j\u00e0 \u00e9t\u00e9 lib\u00e9r\u00e9 lors de la conclusion de la session TLS. Cela entra\u00eene une corruption de la pile et pourrait potentiellement \u00eatre exploit\u00e9 pour ex\u00e9cuter du code. L'avis souligne que l'attaquant a seulement besoin de pouvoir \u00e9tablir une connexion TLS et d'utiliser l'extension SMTP CHUNKING \/ BDAT<\/strong>.<\/p>\n

Le probl\u00e8me concerne Exim 4.97, 4.98, 4.99, 4.99.1 et 4.99.2<\/strong>, mais uniquement les versions compil\u00e9es avec le support GnuTLS<\/strong>. Dans la documentation officielle, cela est formul\u00e9 comme des configurations avec USE_GNUTLS=yes; les versions utilisant OpenSSL<\/strong> ou d'autres biblioth\u00e8ques TLS ne sont pas concern\u00e9es par cette vuln\u00e9rabilit\u00e9. Il est \u00e9galement sp\u00e9cifi\u00e9 dans l'avis d'Exim que les configurations d\u00e9clarant STARTTLS<\/strong> et CHUNKING<\/strong>.<\/p>\n

Le correctif est inclus dans Exim 4.99.3<\/strong>. Selon les d\u00e9veloppeurs, le patch garantit une r\u00e9initialisation propre de la pile de traitement des entr\u00e9es lors de la r\u00e9ception de TLS close_notify pendant une transmission active de BDAT, ce qui emp\u00eache l'utilisation ult\u00e9rieure de pointeurs obsol\u00e8tes. Aucun moyen connu de r\u00e9soudre compl\u00e8tement le probl\u00e8me, en dehors de la mise \u00e0 jour, n'est inclus dans les recommandations.<\/p>\n

Les d\u00e9veloppeurs d'Exim ont re\u00e7u un rapport d'erreur le 1er mai 2026<\/strong> de Federico Kirschbaum de XBOW Security<\/strong>. Apr\u00e8s v\u00e9rification du rapport, le correctif a \u00e9t\u00e9 pr\u00e9par\u00e9 dans des d\u00e9p\u00f4ts priv\u00e9s, le 7 mai, le probl\u00e8me a \u00e9t\u00e9 signal\u00e9 aux distributions via une liste de diffusion ferm\u00e9e, le 10 mai, un acc\u00e8s limit\u00e9 aux correctifs leur a \u00e9t\u00e9 donn\u00e9, et le 12 mai 2026<\/strong> des recommandations et la version avec le correctif ont \u00e9t\u00e9 publi\u00e9es.<\/p>\n

Il est recommand\u00e9 aux administrateurs de serveurs de messagerie de v\u00e9rifier la version d'Exim et le backend TLS utilis\u00e9. serveur<\/a> fonctionne sur Exim de 4.97 \u00e0 4.99.2 inclus, construit avec GnuTLS et annonce STARTTLS avec CHUNKING, le projet Exim recommande de passer d\u00e8s que possible \u00e0 Exim 4.99.3<\/strong> ou une version plus r\u00e9cente. Les codes source corrig\u00e9s sont disponibles dans la branche exim-4.99+fixes et la balise exim-4.99.3, ainsi que sous forme d'archives tarball sur les sites de t\u00e9l\u00e9chargement classiques d'Exim.<\/p>\n

Source : linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 Exim \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u0438\u0440\u0443\u044e\u0449\u0438\u0439 \u0440\u0435\u043b\u0438\u0437 Exim 4.99.3, \u0443\u0441\u0442\u0440\u0430\u043d\u044f\u044e\u0449\u0438\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f\u0445 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u0433\u043e \u0430\u0433\u0435\u043d\u0442\u0430. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u043f\u043e\u0434 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u043c \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u043c EXIM-Security-2026-05-01.1; \u0432 \u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u043c \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u0435\u043d\u0438\u0438 \u0442\u0430\u043a\u0436\u0435 \u0444\u0438\u0433\u0443\u0440\u0438\u0440\u0443\u0435\u0442 \u043a\u0430\u043a CVE-TBD. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043b\u0430\u0441\u0441\u0443 Remote Use-After-Free \u0438 \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u0442\u0435\u043b\u0430 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f BDAT \u043f\u0440\u0438 \u0440\u0430\u0431\u043e\u0442\u0435 TLS \u0447\u0435\u0440\u0435\u0437 GnuTLS. BDAT \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 SMTP-\u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0438 CHUNKING \u0434\u043b\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0442\u0435\u043b\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-172666","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47La vuln\u00e9rabilit\u00e9 permettant l'ex\u00e9cution de code \u00e0 distance lors de l'utilisation de GnuTLS a \u00e9t\u00e9 corrig\u00e9e dans Exim 4.99.3 | ProHoster","description":"Les d\u00e9veloppeurs du serveur de messagerie Exim ont publi\u00e9 une mise \u00e0 jour corrective, Exim 4.99.3, qui corrige une vuln\u00e9rabilit\u00e9 dans certaines configurations de l'agent de messagerie.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/v-exim-4-99-3-ustranena-uyazvimost-pozvolyayushhaya-udalyonnoe-vypolnenie-koda-pri-ispolzovanii-gnutls","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 Exim 4.99.3 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 GnuTLS | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 Exim \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u0438\u0440\u0443\u044e\u0449\u0438\u0439 \u0440\u0435\u043b\u0438\u0437 Exim 4.99.3, \u0443\u0441\u0442\u0440\u0430\u043d\u044f\u044e\u0449\u0438\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f\u0445 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u0433\u043e \u0430\u0433\u0435\u043d\u0442\u0430.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/v-exim-4-99-3-ustranena-uyazvimost-pozvolyayushhaya-udalyonnoe-vypolnenie-koda-pri-ispolzovanii-gnutls","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-18T22:24:49+00:00","article:modified_time":"2026-05-18T22:24:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/172666","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=172666"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/172666\/revisions"}],"predecessor-version":[{"id":173168,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/172666\/revisions\/173168"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=172666"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=172666"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=172666"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}