Zowopsa zapezeka mu Exim zomwe zimalola kuti ma code atsimikizidwe pa seva.

ZDI (Zero Day Initiative) yafalitsa zambiri zokhudzana ndi zovuta zitatu zomwe zapezeka mu seva ya Exim mail. Zowopsa izi zimalola kugwiritsa ntchito ma code mosasamala m'malo mwa seva yomwe yatsegula port 25. Kutsimikizika kwa seva sikufunika pakuwukira.

1. CVE-2023-42115 - imakupatsani mwayi kuti mulembe zambiri zanu kupitilira buffer yomwe mwapatsidwa. Zachitika chifukwa cha cholakwika chotsimikizira za data mu sevisi ya SMTP.
2. CVE-2023-42116 - chifukwa chokopera deta kuchokera kwa wogwiritsa ntchito ku buffer yokhazikika popanda kuyang'ana kukula kofunikira.
3. CVE-2023-42117 - komanso chifukwa cha kusowa kwa kutsimikizira kwa deta pa doko 25 la utumiki wa SMTP.

Zowopsa zimalembedwa ngati masiku 0, zomwe zikuwonetsa kuti sizikusinthidwa, ngakhale malinga ndi ZDI, opanga Exim akhala akudziwa za kukhalapo kwawo. Kukonzekera kutha kupezeka mu mtundu 4.97 wa seva, koma izi sizikudziwika.

Monga chitetezo ku zofooka izi, akulinganizidwa kuti aletse mwayi wopezeka ku SMTP padoko 25.

UPD. Zikuwoneka kuti zinthu sizili zoyipa kwambiri. Zofooka izi ndi zapafupi. Sizigwira ntchito pokhapokha seva ikugwiritsa ntchito kutsimikizika kwa NTLM ndi EXTERNAL, sikuli kumbuyo kwa proxy, sikugwiritsa ntchito ma seva a DNS omwe angakhale oopsa, ndipo sagwiritsa ntchito spf mu ACL. Werengani zambiri…

Source: linux.org.ru