എക്സിം 4.92.3 ഒരു വർഷത്തിനുള്ളിൽ നാലാമത്തെ ഗുരുതരമായ അപകടസാധ്യത ഇല്ലാതാക്കി പ്രസിദ്ധീകരിച്ചു

പ്രസിദ്ധീകരിച്ചു മെയിൽ സെർവർ പ്രത്യേക റിലീസ് എക്സിം 4.92.3 മറ്റൊന്നിന്റെ ഉന്മൂലനത്തോടെ ഗുരുതരമായ ദുർബലത (CVE-2019-16928), EHLO കമാൻഡിൽ പ്രത്യേകം ഫോർമാറ്റ് ചെയ്ത ഒരു സ്ട്രിംഗ് പാസ്സാക്കി സെർവറിൽ നിങ്ങളുടെ കോഡ് വിദൂരമായി എക്സിക്യൂട്ട് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. പ്രത്യേകാവകാശങ്ങൾ പുനഃസജ്ജമാക്കിയതിന് ശേഷമുള്ള ഘട്ടത്തിൽ ഈ ദുർബലത ദൃശ്യമാകുന്നു, കൂടാതെ ഇൻകമിംഗ് മെസേജ് ഹാൻഡ്‌ലർ എക്‌സിക്യൂട്ട് ചെയ്യപ്പെടുന്ന ഒരു പ്രത്യേകാവകാശമില്ലാത്ത ഉപയോക്താവിന്റെ അവകാശങ്ങളുള്ള കോഡ് എക്‌സിക്യൂഷനിലേക്ക് പരിമിതപ്പെടുത്തിയിരിക്കുന്നു.

എക്‌സിം 4.92 ബ്രാഞ്ചിൽ (4.92.0, 4.92.1, 4.92.2) മാത്രമേ പ്രശ്‌നം ദൃശ്യമാകൂ, മാസത്തിന്റെ തുടക്കത്തിൽ നിശ്ചയിച്ചിട്ടുള്ള അപകടസാധ്യതയുമായി ഓവർലാപ്പ് ചെയ്യുന്നില്ല. CVE-2019-15846. ഒരു ഫംഗ്‌ഷനിലെ ബഫർ ഓവർഫ്ലോ മൂലമാണ് അപകടസാധ്യത ഉണ്ടാകുന്നത് string_vformat(), ഫയലിൽ നിർവചിച്ചിരിക്കുന്നത് string.c. പ്രദർശിപ്പിച്ചു ചൂഷണം ചെയ്യുക EHLO കമാൻഡിൽ ഒരു നീണ്ട സ്ട്രിംഗ് (നിരവധി കിലോബൈറ്റുകൾ) കടന്നുപോകുന്നതിലൂടെ ഒരു തകരാർ ഉണ്ടാക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു, എന്നാൽ മറ്റ് കമാൻഡുകളിലൂടെ അപകടസാധ്യത പ്രയോജനപ്പെടുത്താം, കൂടാതെ കോഡ് എക്സിക്യൂഷൻ സംഘടിപ്പിക്കാനും ഇത് ഉപയോഗിക്കാനാകും.

അപകടസാധ്യത തടയുന്നതിന് പരിഹാരങ്ങളൊന്നുമില്ല, അതിനാൽ എല്ലാ ഉപയോക്താക്കളും അപ്‌ഡേറ്റ് അടിയന്തിരമായി ഇൻസ്റ്റാൾ ചെയ്യാൻ ശുപാർശ ചെയ്യുന്നു, പ്രയോഗിക്കുക പാച്ച് അല്ലെങ്കിൽ നിലവിലെ കേടുപാടുകൾക്കുള്ള പരിഹാരങ്ങൾ അടങ്ങിയ വിതരണങ്ങൾ നൽകുന്ന പാക്കേജുകൾ ഉപയോഗിക്കുന്നുണ്ടെന്ന് ഉറപ്പാക്കുക. ഇതിനായി ഒരു ഹോട്ട്ഫിക്സ് പുറത്തിറക്കി ഉബുണ്ടു (19.04 ശാഖയെ മാത്രം ബാധിക്കുന്നു) ആർക്ക് ലിനക്സ്, ഫ്രീബിഎസ് ഡി, ഡെബിയൻ (ഡെബിയൻ 10 ബസ്റ്ററിനെ മാത്രം ബാധിക്കുന്നു) കൂടാതെ ഫെഡോറ. എക്‌സിം അവയുടെ സ്റ്റാൻഡേർഡ് പാക്കേജ് റിപ്പോസിറ്ററിയിൽ (ഇൻ EPEL7 ഇപ്പോൾ അപ്ഡേറ്റ് ഹാജരല്ല). SUSE/openSUSE-ൽ Exim 4.88 ബ്രാഞ്ച് ഉപയോഗിക്കുന്നതിനാൽ അപകടസാധ്യത ദൃശ്യമാകില്ല.

അവലംബം: opennet.ru