È stata rilasciata la versione del server postale Exim 4.97, che include le correzioni accumulate e nuove funzionalità. Secondo un sondaggio automatizzato di novembre su circa 700.000 server di posta, la quota di Exim è del 58,73% (un anno fa era del 60,90%), Postfix è utilizzato nel 34,86% (32,49%) dei server di posta, Sendmail — 3,46% (3,51%), MailEnable — 1,84% (1,91%), MDaemon — 0,40% (0,42%), Microsoft Exchange — 0,19% (0,20%).
Variazioni principali:
- È stata implementata l'utilità exim_msgdate per convertire gli identificatori dei messaggi (message-id) in un formato leggibile.
- Nel meccanismo di test di esposizione delle stringhe, attivato all'avvio di exim con l'opzione "-be", è stata aggiunta la possibilità di impostare variabili.
- È stato aggiunto un evento, generato dal lato client e server in caso di errore di autenticazione tramite SMTP AUTH.
- È stata aggiunta la variabile $sender_helo_verified, che contiene il risultato dell'applicazione di ACL "verify = helo".
- È stata aggiunta la supporto per macro predefinite per l'esposizione di elementi, operatori, condizioni e variabili.
- È stata garantita l'esposizione anticipata (prima dell'utilizzo) dell'opzione SMTP "max_rcpt".
- Nell'opzione tls_eccurve per OpenSSL è stata garantita l'accettazione di un elenco di nomi di gruppi.
- I gestori della coda possono ora essere avviati da un unico processo in background.
- È stato aggiunto un operatore per separare lunghe righe di intestazione.
- È stata aggiunta un'opzione della riga di comando per stampare solo gli identificatori dei messaggi in coda.
- Nell'operatore di esposizione ${readsocket } è stata aggiunta la possibilità di impostare SNI per TLS.
- Nell'ACL-modificatore remove_header è consentito indicare espressioni regolari.
- È stata aggiunta la variabile $recipients_list con una lista di destinatari correttamente escapeata.
- Per log_selector è stato implementato un parametro per riflettere gli identificatori delle connessioni in entrata.
- Sono state risolte cinque vulnerabilità scoperte a fine settembre, tre delle quali (CVE-2023-42115, CVE-2023-42116, CVE-2023-42117) consentono l'esecuzione del codice da remoto senza autenticazione su server con i diritti del processo che accetta connessioni sulla porta di rete 25, mentre le restanti due (CVE-2023-42114 e CVE-2023-42119) potrebbero portare a perdite di contenuti della memoria del processo che gestisce le richieste di rete.
Fonte: opennet.ru
