Exim 4.92.3 發布，消除了一年內第四個嚴重漏洞

發表 郵件伺服器特別發布 進出口 4.92.3 並消除另一個 嚴重漏洞 (CVE-2019，16928），可能允許您透過在 EHLO 命令中傳遞特殊格式的字串來在伺服器上遠端執行程式碼。 此漏洞出現在權限重置後的階段，並且僅限於以非特權使用者的權限執行程式碼，在該階段執行傳入訊息處理程序。

此問題僅出現在Exim 4.92分支（4.92.0、4.92.1和4.92.2）中，與月初修復的漏洞不重疊 CVE-2019，15846。 此漏洞是由函數中的緩衝區溢位引起的 字串_vformat()，在檔案 string.c 中定義。 展示了 開發 允許您透過在 EHLO 命令中傳遞長字串（數千位元組）來導致崩潰，但該漏洞可以透過其他命令來利用，並且還可能用於組織程式碼執行。

目前尚無阻止漏洞的解決方法，因此建議所有用戶緊急安裝更新，應用 修補 或確保使用包含目前漏洞修復程式的發行版提供的軟體包。 已發布修補程式 Ubuntu （僅影響分離 19.04）， Arch Linux, FreeBSD的, Debian （僅影響 Debian 10 Buster）和 Fedora。 RHEL 和 CentOS 不受該問題的影響，因為 Exim 未包含在其標準軟體包儲存庫中（在 EPEL7 暫時更新 沒有）。 在SUSE/openSUSE中，由於使用Exim 4.88分支，漏洞不會出現。

來源： opennet.ru