Poczta / DATA PUBLICZNEGO OGŁOSZENIA
Exim: Return of the WIZard
Błąd sprawdzania adresu odbiorcy mógł pozwolić napastnikowi uruchomić polecenia na serwerze pocztowym.
Co się wydarzyło?
5 czerwca 2019 roku opublikowano poprawki związane z CVE-2019-10149. Luka w Eximie dotyczyła walidacji adresu odbiorcy w funkcji odpowiedzialnej za dostarczanie wiadomości. Nosiła nazwę Return of the WIZard.
Nie należy utożsamiać wszystkich scenariuszy lokalnych i zdalnych: konfiguracja serwera miała znaczenie dla możliwości ataku. Wydanie upstream 4.92 nie było podatne, a dystrybucje przygotowały własne aktualizacje, także z poprawkami przeniesionymi do starszych numerów pakietów.
Co to oznacza dla administratora?
Numer wersji usługi trzeba porównać z informacją o poprawkach od dostawcy systemu. Sam starszy numer nie przesądza o braku poprawki. Serwer pocztowy zasługuje na taką samą uwagę jak serwer stron internetowych.