È disponibile un aggiornamento correttivo per il server di posta Exim 4.98.1, che risolve una vulnerabilità (CVE-2025-26794) che consente l'inserimento di codice SQL nel database interno (Hints DB) utilizzato per memorizzare informazioni sullo stato di consegna dei messaggi.
La vulnerabilità si manifesta solo nella versione Exim 4.98 compilata con l'opzione «_USE_SQLITE_», che abilita l'uso del database SQLite per memorizzare l'Hints DB (attivato se l'output di «exim -bV» riporta «Hints DB: Using sqlite3»). Per sfruttare la vulnerabilità è inoltre necessario abilitare nel file di configurazione il comando SMTP ETRN («acl_smtp_etrn» deve essere impostato su «accept») e abilitare l'uso della serializzazione ETRN («smtp_etrn_serialize» deve essere impostato su «true»).
Fonte: opennet.ru
