Dopo otto mesi di sviluppo, è stata pubblicata la versione del server di posta Exim 4.98, che include le correzioni accumulatesi e nuove funzionalità. Il codice del progetto è scritto in C ed è distribuito sotto la licenza GPLv2+. Secondo un sondaggio automatizzato di giugno che ha coinvolto circa 400.000 server di posta, la quota di Exim è del 59,06% (un anno fa 55,93%), Postfix è utilizzato dal 34,68% (37,40%) dei server di posta, Sendmail dal 3,42% (3,45%), MailEnable dall'1,81% (1,86%), MDaemon dallo 0,37% (0,48%) e Microsoft Exchange dallo 0,17% (0,25%).
Variazioni principali:
- È stata corretta una vulnerabilità (CVE-2024-39929) causata da un'analisi errata dei nomi dei file negli allegati di posta. La vulnerabilità consente di bypassare i filtri che utilizzano la variabile $mime_filename, permettendo il trasferimento di file eseguibili negli allegati, nonostante il loro blocco nelle impostazioni.
- Nell'ACL applicabile ai dati e alle variabili del comando DATA, è consentito l'uso della condizione dkim_status, che permette di valutare il risultato del controllo tramite il meccanismo DKIM (DomainKeys Identified Mail).
- Attivando l'impostazione dkim_verbose, che fornisce informazioni di debug aggiuntive nel log sul funzionamento di DKIM, è garantita l'emissione di informazione sulle firme digitali.
- Nell'opzione dkim_timestamps, che gestisce l'inclusione delle informazioni temporali nella firma, è consentito specificare il valore '0' per aggiungere il tempo corrente.
- Nell'opzione recipients_max, che stabilisce il limite al numero di destinatari per un singolo messaggio, è consentito l'uso di sostituzioni e modelli.
- Durante il test delle espressioni tramite il comando 'exim -be', è stata fornita la possibilità di impostare valori tainted (valori ricevuti dall'esterno, ad esempio, forniti dal mittente della mail).
- È stata aggiunta la supporto per la gestione e il logging dell'evento 'dns:fail', che si verifica quando la richiesta agli elenchi DNSBL fallisce.
- Nei blocchi di lookup dsearch è stata aggiunta la supporto alla ricerca per percorso file incompleto ('${lookup {foo/bar} dsearch,key=path {/etc}}').
- È stata inclusa l'utilità mailtest per il controllo e la diagnosi della connessione SMTP.
- È stato implementato il supporto per l'estensione SMTP WELLKNOWN, tramite la quale il server SMTP può trasferire al cliente informazioni pubbliche, come dettagli di contatto o parametri di verifica al momento della ricezione certificato TLS, utilizzando il protocollo ACME.
- È stata aggiunta la possibilità di utilizzare SQLite3 per l'archiviazione dei database interni, in aggiunta a DBD, NDB, GBDM e TDB. Per utilizzare SQLite3, prima della compilazione in Local/Makefile, è necessario specificare 'USE_SQLITE = y' e 'DBMLIB = -lsqlite3'.
Fonte: opennet.ru
