Exim posta sunucusunda alıcı adresi doğrulama hatası ile uzaktan komut çalıştırma

ÖzetTürkçe

Exim 4.87 ile 4.91 sürümleri (dahil) arasında, deliver_message işlevinde (src/deliver.c) alıcı adresinin yetersiz doğrulanması nedeniyle bir açık bulunmaktadır. Bu durum uzaktan komut çalıştırmaya yol açabilir. Etkilenen sürümlerle çalışan Exim posta sunucuları risk altındadır. Açık, CISA tarafından bilinen ve istismar edilen güvenlik açıkları (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, sunucuya özel hazırlanmış alıcı adresi içeren posta göndererek kimlik doğrulaması olmadan sistemde komut çalıştırabilir. Bu da posta sunucusunun tamamen ele geçirilmesine yol açabilir.

Ne yapmalı?

1. Exim kullanan sunucuları ve sürümlerini tespit edin; 4.87–4.91 aralığındaki sürümler etkilenmektedir. Genel öneri
2. Satıcı talimatlarına uygun şekilde Exim'i düzeltme içeren güncel sürüme yükseltin veya işletim sistemi dağıtımınızın (Debian, Ubuntu, Gentoo, openSUSE vb.) yayımladığı güvenlik güncellemesini uygulayın. CISA
3. Güncelleme hemen mümkün değilse, Exim'in 25. porta internetten erişimini geçici olarak güvenilir kaynaklarla sınırlayın. Genel öneri
4. Güncelleme sonrasında sunucuyu olası ihlal belirtileri açısından inceleyin: beklenmeyen kullanıcılar, zamanlanmış görevler ve olağan dışı süreçler. Genel öneri

Ek önlemler

• Posta sunucusu günlüklerinde alıcı alanında olağan dışı veya komut benzeri içerik taşıyan istekleri izleyin. Genel öneri
• Posta sunucusunu en az yetkiyle çalıştırın ve mümkünse diğer sistemlerden ağ düzeyinde ayrıştırın. Genel öneri
• Dışarıya açık servislerin sürümlerini düzenli denetleyin ve otomatik güvenlik güncellemelerini etkinleştirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

Kaynaklar22 kaynak

• CVE.org kaydı
• NVD kaydı
• usn.ubuntu.com/4010-1 Üretici bülteni
• debian.org/security/2019/dsa-4456 Üretici bülteni
• security.gentoo.org/glsa/201906-01 Üretici bülteni
• lists.opensuse.org/opensuse-security-announce/2019-06/msg00020.html Üretici bülteni
• openwall.com/lists/oss-security/2019/06/05/2 Diğer
• openwall.com/lists/oss-security/2019/06/05/3 Diğer
• openwall.com/lists/oss-security/2019/06/05/4 Diğer
• seclists.org/bugtraq/2019/Jun/5 Diğer
• openwall.com/lists/oss-security/2019/06/06/1 Diğer
• securityfocus.com/bid/108679 Diğer
• seclists.org/fulldisclosure/2019/Jun/16 Diğer
• openwall.com/lists/oss-security/2019/07/25/6 Diğer
• openwall.com/lists/oss-security/2019/07/25/7 Diğer
• openwall.com/lists/oss-security/2019/07/26/4 Diğer
• openwall.com/lists/oss-security/2021/05/04/7 Diğer
• bugzilla.redhat.com/show_bug.cgi Diğer
• exim.org/static/doc/security/CVE-2019-10149.txt Diğer
• packetstormsecurity.com/…53218/Exim-4.9.1-Remote-Command-Execution.html Diğer
• packetstormsecurity.com/…3312/Exim-4.91-Local-Privilege-Escalation.html Diğer
• packetstormsecurity.com/…4198/Exim-4.91-Local-Privilege-Escalation.html Diğer

Kayıt geçmişi

1. 10 Oca 2022CISA KEV listesine eklendi (saldırılarda kullanılıyor)
2. 5 Haz 2019 03:00Yayımlandı

İlgili açıklar

• 9,8 CVE-2018-6789 Aktif istismarExim SMTP dinleyicisinde base64d tampon taşması (uzaktan kod çalıştırma)
• 7,8 CVE-2010-4345 Aktif istismarExim'de yerel kullanıcılara ayrıcalık yükseltme imkânı veren güvenlik açığı
• 9,8 CVE-2010-4344 Aktif istismarExim string_vformat işlevinde yığın tabanlı arabellek taşması
• 9,6 CVE-2026-115904Topluyo Desktop for Linux has an OS Command Injection issue
• 9,1 CVE-2026-67074HCL BigFix AEX is affected by multiple security vulnerabilities.
• 9,8 CVE-2026-114278Unauthenticated Command Injection via kubeconfig Username in che-machine-exec