Dopo otto mesi di sviluppo, è stata pubblicata la release del server di posta Exim 4.98, che include correzioni accumulatesi e nuove funzionalità. Il codice del progetto è scritto in linguaggio C ed è distribuito sotto la licenza GPLv2+. Secondo un sondaggio automatizzato di giugno su circa 400.000 server di posta, la quota di Exim è del 59,06% (rispetto al 55,93% dell'anno scorso), Postfix è utilizzato nel 34,68% (37,40%) dei server di posta, Sendmail - 3,42% (3,45%), MailEnable - 1,81% (1,86%), MDaemon - 0,37% (0,48%), Microsoft Exchange - 0,17% (0,25%).
Principali modifiche:
- È stata rimossa una vulnerabilità (CVE-2024-39929) causata da un'errata analisi dei nomi di file negli allegati di posta. La vulnerabilità consente di aggirare i filtri che utilizzano la variabile $mime_filename, permettendo la trasmissione di file eseguibili negli allegati, nonostante siano bloccati nelle impostazioni.
- Nell'ACL applicabile ai dati, la variabile del comando DATA, è consentito l'uso della condizione dkim_status, che permette di valutare il risultato della verifica tramite il meccanismo DKIM (DomainKeys Identified Mail).
- Abilitando l'impostazione dkim_verbose, che genera informazioni di debug aggiuntive nel log sul funzionamento di DKIM, vengono fornite informazioni sulle firme digitali.
- Nell'opzione dkim_timestamps, che gestisce l'inclusione nel messaggio di informazioni temporali, è consentito specificare il valore "0" per aggiungere l'ora corrente.
- Nell'opzione recipients_max, che stabilisce un limite sul numero di destinatari per un singolo messaggio, è consentito l'uso di sostituzioni e modelli.
- Nella fase di test delle espressioni tramite il comando "exim -be" è stata fornita la possibilità di impostare valori tainted (valori ricevuti dall'esterno, ad esempio forniti dall'autore dell'email).
- È stata aggiunta la supporto per la registrazione e il tracciamento dell'evento "dns:fail", che si verifica quando la richiesta ai DNSBL fallisce.
- Nei blocchi di lookup dsearch è stata aggiunta la supporto per la ricerca in base a un percorso di file incompleto ("${lookup {foo/bar} dsearch,key=path {/etc}}").
- È stata inclusa l'utility mailtest per la verifica e la diagnostica della connessione SMTP.
- È stata implementata la supporto per l'estensione SMTP WELLKNOWN, tramite la quale il server SMTP può fornire al cliente informazioni pubbliche, ad esempio dettagli di contatto o parametri di verifica durante la ricezione certificato TLS, utilizzando il protocollo ACME.
- È stata aggiunta la possibilità di utilizzare SQLite3 per la memorizzazione di database interni, oltre a DBD, NDB, GBDM e TDB. Per utilizzare SQLite3 è necessario specificare "USE_SQLITE = y" e "DBMLIB = -lsqlite3" prima della compilazione nel Local/Makefile.
Fonte: opennet.ru
