ఎగ్జిమ్ మెయిల్ సర్వర్లో కనుగొనబడిన మూడు కీలకమైన బలహీనతల గురించి ZDI (జీరో డే ఇనిషియేటివ్) సమాచారాన్ని ప్రచురించింది. ఈ బలహీనతలు, పోర్ట్ 25ను తెరిచిన సర్వర్ ప్రాసెస్ తరపున ఏకపక్ష కోడ్ అమలుకు అనుమతిస్తాయి. ఈ దాడికి సర్వర్ ప్రామాణీకరణ అవసరం లేదు.
- CVE-2023-42116 – అవసరమైన పరిమాణాన్ని తనిఖీ చేయకుండా వినియోగదారు నుండి డేటాను స్థిర-పరిమాణ బఫర్లోకి కాపీ చేయడం వల్ల కలుగుతుంది.
- CVE-2023-42117 – SMTP సేవ యొక్క పోర్ట్ 25లో ఇన్పుట్ డేటా ధ్రువీకరణ లేకపోవడం వల్ల కూడా ఇది సంభవిస్తుంది.
ఈ లోపాలను 0-డేగా గుర్తించారు, అంటే వాటికి ప్యాచ్ వేయడం లేదని అర్థం. అయినప్పటికీ, ZDI ప్రకారం, ఎక్సిమ్ డెవలపర్లకు వీటి ఉనికి గురించి చాలా కాలంగా తెలుసు. సర్వర్ యొక్క వెర్షన్ 4.97లో ఒక పరిష్కారం అందుబాటులో ఉండవచ్చు, కానీ ఇది అనిశ్చితం.
ఈ లోపాల నుండి రక్షణగా, ప్రస్తుతం పోర్ట్ 25లో SMTPకి యాక్సెస్ను పరిమితం చేయాలని ప్రతిపాదించబడింది.
UPD. పరిస్థితులు అంత చెడ్డగా ఏమీ లేవనిపిస్తోంది. ఈ బలహీనతలు స్థానికమైనవి. సర్వర్ NTLM మరియు EXTERNAL ప్రమాణీకరణను ఉపయోగిస్తే, ప్రాక్సీ వెనుక లేకపోతే, ప్రమాదకరమైన DNS సర్వర్లను ఉపయోగించకపోతే, మరియు ACLలో spfని ఉపయోగించకపోతే తప్ప ఇవి పనిచేయవు. ఇంకా చదవండి…
మూలం: linux.org.ru
