Уязвимость позволяла удаленно выполнить код с правами суперпользователя при наличии в конфигурации определенных настроек.
Для почтового клиента Exim выпущено обновление 4.92.1, исправляющее критическую уязвимость ( CVE-2019-13917 ), позволявшую злоумышленникам удаленно выполнить код с правами суперпользователя при наличии нестандартных конфигураций.
Уязвимость присутствует, начиная с версии Exim 4.85, и проявляется при использовании в настройках оператора "${sort }", если только "sort" элементы могут быть переданы атакующим (например, через переменные $local_part и $domain). По умолчанию данный оператор не применяется в конфигурации, предлагаемой в базовой поставке Exim и в пакете для Debian и Ubuntu (вероятно и в других дистрибутивах). Проверить наличие уязвимости на системе пользователь может выполнив команду "exim -bP config | grep sort".
Обновление, устраняющее уязвимость, уже выпущено для Debian и Ubuntu , и только подготавливается для SUSE, Fedora, FreeBSD и Arch Linux. Проблема не затрагивает RHEL (Red Hat Enterprise Linux) и CentOS, поскольку Exim не входит в их штатный репозиторий пакетов (при необходимости ставится из репозитория epel).
Все версии Exim ниже 4.92.1 объявлены устаревшими и не рекомендуются к использованию.