Ny tetikasa Zero Day Initiative (ZDI) dia namoaka vaovao momba ny vulnerabilities tsy voafehy (0 andro) (CVE-2023-42115, CVE-2023-42116, CVE-2023-42117) ao amin'ny mpizara mailaka Exim, ahafahanao manatanteraka avy lavitra kaody amin'ny mpizara miaraka amin'ny fizotry ny zo izay manaiky fifandraisana amin'ny seranan-tsambo 25. Tsy ilaina ny fanamarinana mba hanatanterahana ny fanafihana.
Ny vulnerability voalohany (CVE-2023-42115) dia vokatry ny hadisoana amin'ny serivisy smtp ary mifandray amin'ny tsy fisian'ny fanamarinana araka ny tokony ho izy amin'ny angon-drakitra voaray avy amin'ny mpampiasa nandritra ny fotoam-pivoriana SMTP ary nampiasaina hanombanana ny haben'ny buffer. Vokatr'izany, ny mpanafika dia afaka mahazo fanoratana voafehy ny angonany mankany amin'ny faritra fitadidiana mihoatra ny sisin'ny buffer natokana.
Ny vulnerability faharoa (CVE-2023-42116) dia hita ao amin'ny mpitantana ny fangatahana NTLM ary vokatry ny kopia ny angon-drakitra voaray avy amin'ny mpampiasa ho ao anaty buffer habe tsy misy fanamarinana ilaina amin'ny haben'ny fampahalalana voasoratra.
Ny vulnerability fahatelo (CVE-2023-42117) dia hita ao amin'ny dingana smtp manaiky ny fifandraisana amin'ny TCP port 25 ary vokatry ny tsy fahampian'ny fanamafisana ny fampidirana, izay mety hitarika amin'ny angon-drakitra omen'ny mpampiasa voasoratra ao amin'ny faritra fitadidiana ivelan'ny buffer nomena. .
Ny vulnerability dia voamarika ho 0-andro, i.e. mijanona ho tsy raikitra, fa ny tatitry ny ZDI dia milaza fa efa nampahafantarina mialoha ny olana ny mpamorona Exim. Ny fanovana farany amin'ny codebase Exim dia natao roa andro lasa izay ary tsy mbola fantatra mazava hoe rahoviana no handamina ny olana (mbola tsy nanam-potoana hihetsika ireo mpanamboatra fizarana hatramin'ny namoahan'ny vaovao tsy misy antsipiriany ora maromaro lasa izay). Amin'izao fotoana izao, ny mpamorona Exim dia miomana hamoaka dikan-teny vaovao 4.97, saingy tsy mbola misy fampahalalana marina momba ny fotoana namoahana azy. Ny hany fomba fiarovana voalaza amin'izao fotoana izao dia ny famerana ny fidirana amin'ny serivisy SMTP miorina amin'ny Exim.
Ho fanampin'ireo fahalemena mitsikera voalaza etsy ambony, dia nambara ihany koa ny vaovao momba ireo olana tsy dia mampidi-doza:
- CVE-2023-42118 dia tondraka integer ao amin'ny tranomboky libspf2 rehefa manadihady ny macro SPF. Ny vulnerability dia ahafahanao manangana kolikoly lavitra amin'ny atiny fitadidiana ary azo ampiasaina handaminana ny fanatanterahana ny kaody ao amin'ny mpizara.
- CVE-2023-42114 dia vakiana ivelan'ny buffer ao amin'ny mpitantana NTLM. Ny olana dia mety hiafara amin'ny fitadidiana ny atiny amin'ny fizotran'ny fangatahan'ny tambajotra.
- CVE-2023-42119 dia vulnerability amin'ny dnsdb handler izay mitarika ho amin'ny fitadidiana leak ao amin'ny dingana smtp.
Source: opennet.ru