сегодня выпустили срочное обновление безопасности - Exim version 4.92.3 - после публикации раннего предупреждения два дня назад, позволяющего системным администраторам заблаговременно узнать о готовящихся исправлениях безопасности, которые затрагивают все версии программного обеспечения почтового сервера, начиная с 4.92 до и включая последнюю версию 4.92.2.
Exim - широко используемый агент передачи почты с открытым исходным кодом (MTA), разработанный для Unix-подобных операционных систем, таких как Linux, Mac OSX или Solaris, который сегодня использует почти 60 процентов почтовых серверов Интернета для маршрутизации, доставки и получения сообщений электронной почты.
Это второй раз в этом месяце, когда сопровождающие exim выпустили срочное обновление безопасности. Ранее в этом месяце команда исправила критическую уязвимость удаленного выполнения кода ( CVE-2019-15846 ) в программном обеспечении, которая могла позволить удаленным злоумышленникам получить доступ к системе на уровне root. Обнаруженная
как CVE-2019-16928 и обнаруженная Джереми Харрисом из команды разработчиков Exim, эта уязвимость связана с переполнением буфера в куче (повреждением памяти) в файле string_vformat, определенном в файле string.c компонента EHLO Command Handler.
Согласно рекомендациям Exim, известный в настоящее время PoC-эксплойт для этой уязвимости позволяет завершить процесс Exim только путем отправки длинной строки в команде EHLO, хотя другие команды также могут использоваться для потенциально выполнения произвольного кода.
«Известный в настоящее время эксплойт использует необычайно длинную строку EHLO для сбоя процесса Exim, который получает сообщение», - говорит команда разработчиков Exim.
«В то время как в этом режиме exim уже отказался от своих привилегий, могут существовать и другие пути доступа к уязвимому коду».
В середине года Exim также исправил серьезную уязвимость удаленного выполнения команд (CVE-2019-10149) в своем почтовом программном обеспечении, которая активно использовалась в дикой природе различными группами хакеров для взлома уязвимых серверов.
Поэтому администраторам сервера настоятельно рекомендуется установить последнюю версию Exim 4.92.3 как можно скорее, поскольку нет никаких известных мер по временному решению этой проблемы.
Команда также говорит: «Если вы не можете установить вышеупомянутые версии, попросите у сопровождающего вашего пакета версию, содержащую исправление, перенесенное в бэкпорт. По запросу и в зависимости от наших ресурсов мы поможем вам с переносом исправления».
Обновление для системы безопасности доступно для дистрибутивов Linux, включая Ubuntu , Arch Linux , FreeBSD , Debian и Fedora .
