एक्झिम 4.92.1 अद्ययावत असुरक्षा निराकरणासह

प्रकाशित मेल सर्व्हरचे अनुसूचित प्रकाशन एक्झिम ४.९२.२ जे एक गंभीर असुरक्षा (CVE-2019-13917) काढून टाकते, जे काही विशिष्ट सेटिंग्ज कॉन्फिगरेशनमध्ये असल्यास रूट अधिकारांसह रिमोट कोडची अंमलबजावणी करण्यास अनुमती देते.

असुरक्षितता दिसते सेटिंग्जमध्ये “${sort }” ऑपरेटर वापरत असताना रिलीझ 4.85 पासून सुरू करून, जर “क्रमवारी” सूचीमध्ये वापरलेले घटक आक्रमणकर्त्यांना हस्तांतरित केले जाऊ शकतात (उदाहरणार्थ, $local_part आणि $domain व्हेरिएबल्सद्वारे). डीफॉल्टनुसार, बेस एक्झिम वितरण आणि डेबियन आणि उबंटू (कदाचित इतर वितरणांमध्ये देखील) साठी पॅकेजमध्ये ऑफर केलेल्या कॉन्फिगरेशनमध्ये हा ऑपरेटर वापरला जात नाही. तुमची प्रणाली भेद्यतेसाठी तपासण्यासाठी, तुम्ही "exim -bP config |" कमांड चालवू शकता grep क्रमवारी "

असुरक्षिततेचे निराकरण करण्यासाठी अद्यतने आधीच प्रसिद्ध केली गेली आहेत डेबियन и उबंटू. अद्यतने अद्याप तयार नाहीत SUSE, Fedora, FreeBSD и आर्क लिनक्स. RHEL आणि CentOS समस्या संवेदनाक्षम नाही, एक्झिम त्यांच्या नियमित पॅकेज रिपॉझिटरीमध्ये समाविष्ट नसल्यामुळे (आवश्यक असल्यास, रेपॉजिटरीमधून स्थापित करा epel).

स्त्रोत: opennet.ru