Exim-Mail-Server mit Sicherheitslücke–Workaround verfügbar

Keine Ahnung, ob Blog-Leser den Mail Transfer Agent und Mailserver Exim (unter Linux, Solaris oder macOS) einsetzen. Falls ja, gilt es zeitnah zu reagieren, da in den Produkten eine Sicherheitslücke existiert.


Anzeige

In CVE-2017-16944 ist die Sicherheitslücke beschrieben. Die receive_msg-Funktion des SMTP-Daemon in Exim 4.88 und 4.89 erlaubt es entfernten Angreifern, einen Denial-of-Service (Endlosschleife und Stack-Auslastung) über Vektoren mit BDAT-Befehlen und dem Zeichen '.' auszuführen.

Laut dem Bug-Tracker wurde die Sicherheitslücke wohl sofort veröffentlicht, ohne die Entwickler vorher zu informieren. Die Entwickler geben daher aktuell nur einen Workaround an, um das System abzusichern. Dazu ist in der Exim-Konfigurationsdatei die Anweisung:

chunking_advertise_hosts =

im Hauptabschnitt einzutragen. Demnächst sollte auch ein Patch zum Schließen der Sicherheitslücke freigegeben werden. Ein paar Informationen finden sich bei The Hacker News und bei heise.de.


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Mail, Sicherheit abgelegt und mit , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.