[TLP:CLEAR] Exim opravuje vysoko závažnú zraniteľnosť
Exim verziou 4.98.1 opravuje vysoko závažnú zraniteľnosť [3]. Najrozšírenejšie vydania operačných systémov zraniteľnú verziu Exim-u neobsahujú [4][5][6][7].
Neautentizovanému vzdialenému útočníkovi je umožnené vykonať SQL injection útok, čo môže viesť k DoS útoku (z pohľadu postihnutého stroja aj príjemcov pošty) a neoprávnenému prístupu k informáciám, potenciálne aj k obsahu emailových správ, ktoré majú byť zaslané pomocou mechanizmu ETRN. Zraniteľnosť je zneužiteľná iba v prípade, ak je použitý SQLite pre pomocnú databázu a je povolený mechanizmus ETRN serializácie [1][2]. K zraniteľnosti bol zverejnený PoC [2]. Možnosti overenia, či je vaša inštancia zraniteľná, je možné nájsť na [1]
Zraniteľnosť sa nachádza v produkte Exim vo verziách >=4.98 AND <4.98.1.
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-26794 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 2. 2025.
Odkazy
- [1] https://www.exim.org/static/doc/security/CVE-2025-26794.txt
- [2] https://github.com/OscarBataille/CVE-2025-26794
- [3] https://nvd.nist.gov/vuln/detail/CVE-2025-26794
- [4] https://security-tracker.debian.org/tracker/CVE-2025-26794
- [5] https://ubuntu.com/security/CVE-2025-26794
- [6] https://packages.gentoo.org/packages/mail-mta/exim
- [7] https://access.redhat.com/security/cve/cve-2025-26794
Za CESNET-CERTS Martin Krajči dňa 26. 2. 2025.
