Opublikowano korekcyjny wydanie serwera pocztowego Exim 4.99.2, w którym usunięto 4 podatności:
- CVE-2026-40685 — przepełnienie bufora podczas odczytu i zapisu przy przetwarzaniu danych JSON w nagłówku wiadomości.
- CVE-2026-40686 — odczyt danych spoza granic bufora podczas przetwarzania specjalnie sformatowanych znaków UTF-8 na końcu nagłówków. Podatność może prowadzić do wycieku danych z pamięci w zwracanych komunikatach o błędach.
- CVE-2026-40687 — przepełnienie bufora podczas odczytu i zapisu w konfiguracjach używających sterownika uwierzytelniania SPA (Simple Password Authentication). Podatność może być wykorzystywana przy dostępie do zasobu kontrolowanego przez atakującego. serwera SPA/NTLM.
- CVE-2026-40684 — awaria procesu podczas przetwarzania specjalnie sformatowanych danych w rekordach DNS PTR. Podatność występuje tylko w systemach z musl libc.
Źródło: opennet.ru
