CVE-2023-42117

Exim SMTP — zdalne wykonanie kodu przez uszkodzenie pamięci (RCE)

CVSS 9.8v3.1pub. 2024-05-03upd. 2025-11-03

Podatność w serwerze pocztowym Exim umożliwia zdalnym atakującym wykonanie dowolnego kodu bez uwierzytelnienia. Ze względu na brak wymagań wstępnych i krytyczny wynik CVSS 9.8 stanowi poważne zagrożenie dla każdego serwera z uruchomioną usługą SMTP.

▸ Pokaż oryginał (EN)

Exim Improper Neutralization of Special Elements Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Exim. Authentication is not required to exploit this vulnerability. The specific flaw exists within the smtp service, which listens on TCP port 25 by default. The issue results from the lack of proper validation of user-supplied data, which can result in a memory corruption condition. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-17554.

🤖 Analiza AI

Jak działa

Błąd występuje w usłudze SMTP nasłuchującej domyślnie na porcie TCP 25. Serwer Exim nieprawidłowo neutralizuje znaki specjalne w danych dostarczanych przez użytkownika (CWE-138), co prowadzi do uszkodzenia pamięci (memory corruption). Atakujący może przesłać spreparowane dane do usługi SMTP bez konieczności uwierzytelnienia, wywołując w ten sposób wykonanie dowolnego kodu w kontekście bieżącego procesu.

Skutki

Atakujący może zdalnie wykonać dowolny kod w kontekście procesu Exim, co w praktyce oznacza możliwość przejęcia kontroli nad serwerem pocztowym, kradzieży danych lub dalszego lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Użytkownicy dystrybucji Debian powinni zapoznać się z komunikatem debian-lts-announce z października 2024. Dodatkowo zaleca się ograniczenie dostępu do portu TCP 25 wyłącznie do zaufanych źródeł na poziomie firewall jako środek tymczasowy.

Kogo dotyczy

Exim — wersje wskazane w referencjach producenta (podatność śledzona jako ZDI-CAN-17554)

Uwagi

Podatność została zgłoszona przez Zero Day Initiative jako ZDI-CAN-17554 i opublikowana jako ZDI-23-1471. Szczegóły techniczne dostępne w serwisie zerodayinitiative.com.