екстрений випуск поштового сервера з усуненням черговий (), що потенційно дозволяє віддалено виконати свій код на сервері через передачу спеціально оформленого рядка в команді EHLO. Вразливість проявляється на стадії після скидання привілеїв і обмежена виконанням коду з правами непривілейованого користувача, під яким виконується обробник повідомлень, що надходять.
Проблема проявляється тільки у гілці Exim 4.92 (4.92.0, 4.92.1 та 4.92.2) і не перетинається з усуненою на початку місяця вразливістю . Вразливість викликана переповненням буфера у функції , визначеної у файлі string.c. Продемонстрований дозволяє викликати крах через передачу довгого рядка (кілька кілобайт) у команді EHLO, але вразливість може бути експлуатована через інші команди, а також потенційно може бути використана для організації виконання коду.
Обхідні шляхи блокування вразливості відсутні, тому всім користувачам рекомендовано терміново встановити оновлення, застосувати або переконатися у використанні пакетів, що надаються дистрибутивами, в яких перенесені виправлення актуальних уразливостей. Виправлення випущено для (зачіпає лише гілку 19.04), , , (зачіпає тільки Debian 10 Buster) та . RHEL і CentOS проблемі не схильні, тому що Exim не входить до їх штатного репозиторію пакетів (у оновлення поки ). У SUSE/openSUSE уразливість не проявляється через застосування гілки Exim 4.88.
Джерело: opennet.ru