เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบ—เบตเปˆเบชเปเบฒเบ„เบฑเบ™เป„เบ”เป‰เบ–เบทเบเบ„เบปเป‰เบ™เบžเบปเบšเปƒเบ™ Exim เบ—เบตเปˆเบญเบฐเบ™เบธเบเบฒเบ”เปƒเบซเป‰เบฅเบฐเบซเบฑเบ” arbitrary เบ”เปเบฒเป€เบ™เบตเบ™เบเบฒเบ™เบขเบนเปˆเปƒเบ™เป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบ.

ZDI (Zero Day Initiative) เป€เบœเบตเบเปเบœเปˆเบ‚เปเป‰เบกเบนเบ™เบเปˆเบฝเบงเบเบฑเบšเบชเบฒเบกเบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบ—เบตเปˆเบชเปเบฒเบ„เบฑเบ™เบ—เบตเปˆเบžเบปเบšเป€เบซเบฑเบ™เบขเบนเปˆเปƒเบ™เป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบเป€เบกเบฅ Exim เบ—เบตเปˆเบญเบฐเบ™เบธเบเบฒเบ”เปƒเบซเป‰เบ›เบฐเบ•เบดเบšเบฑเบ”เบฅเบฐเบซเบฑเบ” arbitrary เปƒเบ™เบ™เบฒเบกเบ‚เบญเบ‡เบ‚เบฐเบšเบงเบ™เบเบฒเบ™เป€เบŠเบตเบŸเป€เบงเบตเบ—เบตเปˆเป€เบ›เบตเบ”เบžเบญเบ” 25. เป€เบžเบทเปˆเบญเบ›เบฐเบ•เบดเบšเบฑเบ”เบเบฒเบ™เป‚เบˆเบกเบ•เบต, เบเบฒเบ™เบžเบดเบชเบนเบ”เบขเบทเบ™เบขเบฑเบ™เปƒเบ™เป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบเปเบกเปˆเบ™เบšเปเปˆเบˆเปเบฒเป€เบ›เบฑเบ™.

  1. CVE-2023-42115 โ€” เบญเบฐโ€‹เบ™เบธโ€‹เบเบฒเบ”โ€‹เปƒเบซเป‰โ€‹เบ—เปˆเบฒเบ™โ€‹เปƒเบ™โ€‹เบเบฒเบ™โ€‹เบ‚เบฝเบ™โ€‹เบ‚เปเป‰โ€‹เบกเบนเบ™โ€‹เบ‚เบญเบ‡โ€‹เบ—เปˆเบฒเบ™โ€‹เป€เบเบตเบ™โ€‹เบ‚เบญเบšโ€‹เป€เบ‚เบ”โ€‹เบ‚เบญเบ‡ buffer เบเบฒเบ™โ€‹เบˆเบฑเบ”โ€‹เบชเบฑเบ™โ€‹. เป€เบเบตเบ”เบˆเบฒเบเบ„เบงเบฒเบกเบœเบดเบ”เบžเบฒเบ”เปƒเบ™เบเบฒเบ™เบเบงเบ”เบชเบญเบšเบ‚เปเป‰เบกเบนเบ™เบเบฒเบ™เบ›เป‰เบญเบ™เบ‚เปเป‰เบกเบนเบ™เปƒเบ™เบเบฒเบ™เบšเปเบฅเบดเบเบฒเบ™ SMTP.
  2. CVE-2023-42116 โ€“ เป€เบเบตเบ”โ€‹เบˆเบฒเบโ€‹เบเบฒเบ™โ€‹เบ„เบฑเบ”โ€‹เบฅเบญเบโ€‹เบ‚เปเป‰โ€‹เบกเบนเบ™โ€‹เบˆเบฒเบโ€‹เบœเบนเป‰โ€‹เปƒเบŠเป‰โ€‹เป€เบ‚เบปเป‰เบฒโ€‹เป„เบ›โ€‹เปƒเบ™ buffer เบ‚เบฐโ€‹เบซเบ™เบฒเบ”โ€‹เบ„เบปเบ‡โ€‹เบ—เบตเปˆโ€‹เป‚เบ”เบโ€‹เบšเปเปˆโ€‹เบกเบตโ€‹เบเบฒเบ™โ€‹เบเบงเบ”โ€‹เบชเบญเบšโ€‹เบ‚เบฐโ€‹เบซเบ™เบฒเบ”โ€‹เบ—เบตเปˆโ€‹เบ•เป‰เบญเบ‡โ€‹เบเบฒเบ™โ€‹.
  3. CVE-2023-42117 โ€“ เบเบฑเบ‡เป€เบเบตเบ”เบˆเบฒเบเบเบฒเบ™เบ‚เบฒเบ”เบเบฒเบ™เบเบงเบ”เบชเบญเบšเบ‚เปเป‰เบกเบนเบ™เบ›เป‰เบญเบ™เป€เบ‚เบปเป‰เบฒเบขเบนเปˆเปƒเบ™เบžเบญเบ” 25 เบ‚เบญเบ‡เบเบฒเบ™เบšเปเบฅเบดเบเบฒเบ™ SMTP.

เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบ–เบทเบเบซเบกเบฒเบเป€เบ›เบฑเบ™ 0-day, เป€เบŠเบดเปˆเบ‡เบŠเบตเป‰เปƒเบซเป‰เป€เบซเบฑเบ™เบงเปˆเบฒเบžเบงเบเป€เบ‚เบปเบฒเบšเปเปˆเป„เบ”เป‰เบ–เบทเบ patched, เป€เบ–เบดเบ‡เปเบกเปˆเบ™เบงเปˆเบฒเบญเบตเบ‡เบ•เบฒเบก ZDI, เบ™เบฑเบเบžเบฑเบ”เบ—เบฐเบ™เบฒ Exim เป„เบ”เป‰เบฎเบฑเบšเบเบฒเบ™เป€เบ•เบทเบญเบ™เบเบฒเบงเบเปˆเบฝเบงเบเบฑเบšเบเบฒเบ™เบ›เบฐเบเบปเบ”เบ•เบปเบงเบ‚เบญเบ‡เบžเบงเบเป€เบ‚เบปเบฒ. เบšเบฒเบ‡เบ—เบตเบเบฒเบ™เปเบเป‰เป„เบ‚เบˆเบฐเบขเบนเปˆเปƒเบ™เบชเบฐเบšเบฑเบš 4.97 เบ‚เบญเบ‡เป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบ, เปเบ•เปˆเบ™เบตเป‰เบšเปเปˆเปเบ™เปˆเบ™เบญเบ™.

เปƒเบ™เบ–เบฒเบ™เบฐเป€เบ›เบฑเบ™เบเบฒเบ™เบ›เบปเบเบ›เป‰เบญเบ‡เบ„เบงเบฒเบกเบญเปˆเบญเบ™เปเบญเป€เบซเบผเบปเปˆเบฒเบ™เบตเป‰, เบกเบฑเบ™เป„เบ”เป‰เบ–เบทเบเบชเบฐเป€เบซเบ™เบตเปƒเบซเป‰เบˆเปเบฒเบเบฑเบ”เบเบฒเบ™เป€เบ‚เบปเป‰เบฒเป€เบ–เบดเบ‡ SMTP เปƒเบ™เบžเบญเบ” 25.

UPD. เป€เบšเบดเปˆเบ‡เบ„เบทเบงเปˆเบฒเบชเบดเปˆเบ‡เบ—เบตเปˆเบšเปเปˆเบ”เบตเบซเบผเบฒเบ. เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเป€เบซเบผเบปเปˆเบฒเบ™เบตเป‰เปเบกเปˆเบ™เบขเบนเปˆเปƒเบ™เบ—เป‰เบญเบ‡เบ–เบดเปˆเบ™. เบžเบงเบเบกเบฑเบ™เบšเปเปˆเป€เบฎเบฑเบ”เบงเบฝเบเบ–เป‰เบฒเป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบเบšเปเปˆเปƒเบŠเป‰ NTLM เปเบฅเบฐเบเบฒเบ™เบเบงเบ”เบชเบญเบšเบžเบฒเบเบ™เบญเบ, เบšเปเปˆเป„เบ”เป‰เบ›เบดเบ”เบขเบนเปˆเบซเบฅเบฑเบ‡เบ•เบปเบงเปเบ—เบ™, เบšเปเปˆเปƒเบŠเป‰เป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบ DNS เบ—เบตเปˆเป€เบ›เบฑเบ™เบญเบฑเบ™เบ•เบฐเบฅเบฒเบ, เปเบฅเบฐเบšเปเปˆเปƒเบŠเป‰ spf เปƒเบ™ acl. เบฎเบฝเบ™เบฎเบนเป‰เป€เบžเบตเปˆเบกเป€เบ•เบตเบก

เปเบซเบผเปˆเบ‡เบ‚เปเป‰เบกเบนเบ™: linux.org.ru

เป€เบžเบตเปˆเบกเบ„เบงเบฒเบกเบ„เบดเบ”เป€เบซเบฑเบ™