Exim annonce la correction de trois vulnérabilités critiques de type « zero-day » parmi les six failles découvertes par Zero Day Initiative (ZDI) affectant les versions antérieures à 4.96.1 ou 4.97 de l'agent de transfert de courriels (Mail Transfer Agent ou MTA) Exim.

• Une vulnérabilité critique (CVE-2023-42115) affectant Exim Mail Transfer Agent (MTA), en raison d'une faiblesse d'écriture hors limites trouvée dans le service SMTP. La vulnérabilité a un score CVSSv3 (Common Vulnerability Scoring System) de 9.8 sur 10. L'exploitation réussie de la vulnérabilité pourrait permettre à un attaquant distant et non authentifié de réaliser une exécution de code à distance (RCE) sur les serveurs vulnérables.
• Les vulnérabilités identifiées CVE-2023-42114 et CVE-2023-42116 ayant respectivement un score CVSSv3 de 3.7 et 8.1 sont présentes dans le sous-système SPA/NTLM. Ce dernier présente une faiblesse dans la validation des entrées utilisateurs lors du traitement des demandes de défis (challenges) NTLM. L'exploitation réussie de la vulnérabilité pourrait permettre à un attaquant distant de provoquer une atteinte à la confidentialité des données et une exécution de code arbitraire.

 Cependant, à la date de publication initiale de cette alerte, l'éditeur ne propose pas de correctif pour les trois vulnérabilités suivantes :

• La vulnérabilité CVE-2023-42117 ayant un score CVSSv3 de 8.1 est liée à la gestion du protocole PROXY. Un manque de validation des données soumises par l'utilisateur peut permettre à un attaquant distant de compromettre l'intégrité des données en mémoire et de tenter une exécution de code arbitraire.
• La vulnérabilité identifiée CVE-2023-42118 a un score CVSSv3 de 7.5. Un attaquant adjacent au réseau peut tenter une exécution de code arbitraire vers les versions affectées de la bibliothèque libspf2 incluse dans Exim.
• La vulnérabilité dont le numéro d'identification est CVE-2023-42119 est référencée avec un score CVSSv3 de 3.1. Elle est due au sous-système de recherches DNS : un manque de validation des données fournies par l'utilisateur peut entraîner une lecture au-delà du tampon alloué. Un attaquant adjacent au réseau peut alors, en conjonction avec d'autres vulnérabilités, tenter une exécution de code arbitraire dans le contexte du compte de service.