Обновление Exim 4.97.1 с добавлением защиты от атаки SMTP Smuggling

Доступен корректирующий выпуск почтового сервера Exim 4.97.1, в котором включены изменения для защиты от атаки SMTP Smuggling, позволяющей расщепить одно сообщение на несколько разных сообщений через использование нестандартной последовательности для разделения писем. Изначально предполагалось, что проблема проявляется только в postfix и sendmail, но позднее выяснилось, что она затрагивает и Exim (CVE-2023-51766).

Exim может обрабатывать в качестве разделителя сообщений последовательности “n.n”, “rn.n” и “n.rn”, если на сервере для входящих соединений включена поддержка расширений “PIPELINING” и “CHUNKING”. В исправлении добавлена настройка strict_crlf, позволяющая вернуть возможность обработки нестандартных последовательностей. В качестве обходного пути защиты можно отключить расширение “PIPELINING” или “CHUNKING”, используя настройки pipelining_advertise_hosts, pipelining_connect_advertise_hosts и chunking_advertise_hosts.

Release. Ссылка here.