Срочное обновление Exim исправляет критическую уязвимость

Срочное обновление Exim исправляет критическую уязвимость

Эксплуатация уязвимости позволяет злоумышленнику удаленно выполнить код на сервере.

Разработчики выпустили срочное обновление почтового сервера Exim 4.92.3, которое исправляет критическую уязвимость ( CVE-2019-16928 ). Ее эксплуатация позволяет злоумышленнику удаленно выполнить код на сервере с помощью специально сформированной строки в команде EHLO.

Уязвимость проявляется на стадии после сброса привилегий и ограничена выполнением кода с правами простого пользователя, под которым выполняется обработчик поступающих сообщений. Уязвимость связана с переполнением буфера в функции string_vformat(), определенной в файле string.c. Опубликованный эксплоит позволяет вызвать сбой с помощью отправки длинной строки в команде EHLO, однако эксплуатация осуществима и через другие команды, а также потенциально может быть использована для выполнения кода.

Проблема затрагивает версии Exim 4.92 (4.92.0, 4.92.1 и 4.92.2) и не имеет отношения к ранее исправленной уязвимости CVE-2019-15846.

Пользователям рекомендуется срочно установить обновление, исправляющее данную уязвимость. Исправление доступно для Ubuntu (уязвимость затрагивает только ветку 19.04), Arch Linux , FreeBSD , Debian (затрагивает только Debian 10 Buster) и Fedora . Проблема не затрагивает RHEL и CentOS. В SUSE/openSUSE уязвимость не проявляется из-за применения ветки Exim 4.88.


Один хакер может причинить столько же вреда, сколько 10 000 солдат! Подпишись на наш Телеграм канал, чтобы узнать первым, как выжить в цифровом кошмаре!