CVE-2019-10149: fallo crítico en exim
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply updates per vendor instructions.
Los servidores de correo Exim versiones 4.87 a 4.91 no validan correctamente direcciones de destinatarios, permitiendo que atacantes ejecuten comandos arbitrarios en el servidor remotamente.
Una vulnerabilidad de inyección de comandos existe en la función deliver_message() en /src/deliver.c donde validación insuficiente de direcciones de destinatarios permite ejecución remota de código sin autenticación. El vector de ataque requiere enviar un correo con una dirección de destinatario maliciosa; la explotación es trivial ya que Exim procesa entrada no confiable directamente en contextos de shell.
El análisis completo de esta CVE está disponible en portugués →