Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Exim opravuje štyri zraniteľnosti
Exim verziou 4.100.1 opravuje štyri zraniteľnosti, z toho dve vysoko závažné. Najzávažnejšie sú opísané nižšie, všetky nájdete na [1].
Neautentizovanému vzdialenému útočníkovi je pri použití Proxy Protocolu (v2) s proxy pod kontrolou útočníka umožnené čítať niektoré neinicializované dáta zo zásobníka [1][2].
Zraniteľnosť sa nachádza v produkte:
- Exim; >=4.83, <=4.100;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:L
Viac informácií:
- CVE-2026-94056 na cve.org, NVD
- CWE-908: Use of Uninitialized Resource na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 18. 9. 2026.
Neautentizovanému vzdialenému útočníkovi je pri použití Proxy Protocolu (v1) s proxy pod kontrolou útočníka umožnené zapísať nulový bajt za hranicu alokovanej pamäte na halde, a tým haldu poškodiť [1][3].
Zraniteľnosť sa nachádza v produkte:
- Exim; >=4.83, <=4.100;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:L
Viac informácií:
- CVE-2026-94054 na cve.org, NVD
- CWE-787: Out-of-bounds Write na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 18. 9. 2026.
Neautentizovanému vzdialenému útočníkovi je za určitých podmienok umožnené vykonať SMTP smuggling, teda cez zraniteľný server doručiť správu, ktorú odosielajúci server reálne neodoslal ani nezalogoval [1][4].
Zraniteľnosť sa nachádza v produkte:
- Exim; <4.100.1;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:L/A:N
Viac informácií:
- CVE-2026-94057 na cve.org, NVD
- CWE-93: Improper Neutralization of CRLF Sequences ('CRLF Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 18. 9. 2026.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dňa 22. 9. 2026.