Falha no Exim expõe versões com GnuTLS a risco de execução de código
Uma falha crítica de segurança foi corrigida no Exim, um popular agente de transferência de e-mails (MTA) de código aberto utilizado em sistemas Unix-like. A vulnerabilidade, identificada como CVE-2026-45185 e apelidada de Dead.Letter, permitia a corrupção de memória e possível execução remota de código em servidores configurados para usar a biblioteca GnuTLS para conexões TLS.
O problema ocorria durante o processamento de mensagens usando a extensão BDAT do protocolo SMTP, quando um cliente enviava um alerta TLS close_notify antes de finalizar a transferência do corpo da mensagem e, em seguida, transmitia um byte final em texto claro na mesma conexão TCP. Esse comportamento fazia com que o Exim escrevesse dados em uma área de memória já liberada, resultando em corrupção de heap. Para explorar a falha, bastava que o atacante conseguisse estabelecer uma conexão TLS e utilizasse a extensão CHUNKING (BDAT).
A vulnerabilidade afetava todas as versões do Exim entre 4.97 e 4.99.2, mas apenas em compilações que utilizavam a opção USE_GNUTLS=yes. Instalações que empregam outras bibliotecas TLS, como OpenSSL, não foram impactadas. O pesquisador Federico Kirschbaum, do laboratório de segurança XBOW, foi responsável pela descoberta e detalhou como o bug poderia ser explorado para comprometer o servidor.
A correção foi disponibilizada na versão 4.99.3 do Exim, que ajusta o processamento de entrada para garantir que ponteiros antigos não sejam reutilizados após o encerramento de sessões TLS durante transferências BDAT. Não há medidas de mitigação alternativas, tornando a atualização essencial para todos os administradores que utilizam o Exim com GnuTLS. O caso reforça a importância de manter softwares críticos de infraestrutura sempre atualizados para evitar riscos operacionais severos.
Fonte original: thehackernews.com
Acessar publicação original
Resumo editorial criado automaticamente pela Eletrônica Americana com base em fontes internacionais públicas, com finalidade informativa.
Além de se manter informado, você pode aprofundar seus conhecimentos em nossos guias de compra, onde comparamos as melhores opções do mercado para facilitar sua escolha. Para uma análise técnica, confira nossas reviews completas com testes reais de desempenho. E se você está em busca do melhor preço, não deixe de acompanhar nossa seleção de ofertas e descontos atualizados diariamente nas principais lojas.
