Foi lançado um patch corretivo para o servidor de email Exim 4.99.1, que corrige uma vulnerabilidade (CVE-2025-67896) que permite que um atacante remoto comprometa o conteúdo da memória fora do buffer alocado. Potencialmente, essa falha pode ser usada para a execução remota de código no servidor, mas um exploit funcional ainda não foi desenvolvido.
A vulnerabilidade existe no código que trabalha com o banco de dados interno (Hints DB) baseado em SQLite, utilizado para armazenar informações temporárias, estado de entrega de mensagens e detalhes sobre a intensidade do envio de emails. O problema é causado pelo fato de que as entradas do banco de dados eram convertidas diretamente em uma estrutura interna chamada 'dbdata_ratelimit_unique' sem a devida validação. Isso gerava uma situação onde um array fixo 'bloom', de 40 bytes, era criado, enquanto o conteúdo do campo 'bloom_size', que determina o número de elementos a serem gravados no array, dependia do tamanho dos dados no banco de dados. O invasor poderia orquestrar a gravação além do buffer alocado ao inserir dados no banco (usando outra vulnerabilidade), fazendo com que o campo 'bloom_size' assumisse um valor que era evidentemente maior que o tamanho do array.
O problema se manifesta nas versões Exim 4.99 e 4.98.2, e afeta apenas configurações com ACL ratelimit, que utilizam os parâmetros 'unique' ou 'per_addr' (por exemplo, 'warn ratelimit = 100 / 1h / per_addr / $sender_address' ou 'warn ratelimit = 100 / 1h / per_rcpt / unique=$sender_address'). Além disso, para que o ataque ocorra, o Exim deve ser compilado com suporte ao SQLite (USE_SQLITE=yes) ativado no arquivo de configuração (hints_database = sqlite). Em configurações vulneráveis, ao rodar 'exim -bV' é exibido 'Hints DB: Using sqlite3'.
Entre as principais distribuições, as versões problemáticas foram utilizadas no Debian 13, Ubuntu 25.10, SUSE/openSUSE, Arch Linux, Fedora e FreeBSD. RHEL e distribuições derivadas não são afetadas, pois o Exim não está presente em seu repositório de pacotes padrão (no EPEL, a atualização para o pacote exim ainda não foi publicada).
Também foi identificado um novo vetor para explorar a vulnerabilidade CVE-2025-26794, corrigida na versão de fevereiro do Exim 4.98.1. A vulnerabilidade permite a substituição de código SQL no banco de dados interno (Hints DB). A correção adicionada anteriormente não escapava as aspas simples. Um exemplo do comando MAIL FROM que leva à substituição de código SQL é: «MAIL FROM:<«x’\/**\/UNION\/**\/SELECT\/**\/X'<hex_blob>’—«@attacker.com>». Esta vulnerabilidade pode ser usada como um ponto de partida para criar as condições para a ocorrência do estouro de buffer descrito acima.
Fonte: opennet.ru
