Cảnh báo lỗ hổng nghiêm trọng

Cảnh báo: Lỗ hổng BDAT trên Exim cho phép thực thi mã từ xa (RCE)

Exim vừa phát hành các bản cập nhật bảo mật để khắc phục một sự cố nghiêm trọng ảnh hưởng đến một số cấu hình cụ thể, có thể dẫn đến hỏng bộ nhớ và thực thi mã trái phép. Lỗ hổng này được định danh là CVE-2026-45185 (hay còn gọi là Dead.Letter).

Tổng quan về CVE-2026-45185

CVE-2026-45185 được mô tả là một lỗ hổng Use-After-Free (UAF) trong quá trình phân tích nội dung thông báo BDAT (Binary Data Transmission) của Exim khi kết nối TLS được xử lý bởi thư viện GnuTLS.

Mã lỗ hổng

CVE-2026-45185

Phiên bản ảnh hưởng

Exim 4.97 đến 4.99.2

Điều kiện kích hoạt

Build với GnuTLS

Cơ chế khai thác "Dead.Letter"

Lỗ hổng xảy ra khi một client gửi thông báo close_notify TLS trước khi quá trình truyền tải body hoàn tất, sau đó gửi thêm một byte cuối cùng dưới dạng văn bản rõ (cleartext) trên cùng một kết nối TCP. Chuỗi sự kiện này khiến Exim ghi dữ liệu vào một vùng đệm bộ nhớ đã được giải phóng trong quá trình đóng phiên TLS, dẫn đến hỏng Heap (Heap Corruption).

Chuyên gia Federico Kirschbaum từ XBOW, người phát hiện ra lỗ hổng, cho biết: 'Việc ghi một byte đơn lẻ () vào vùng nhớ đã giải phóng có thể làm hỏng siêu dữ liệu của bộ cấp phát (allocator metadata), từ đó kẻ tấn công có thể lợi dụng để giành quyền thực thi các lệnh cao hơn'.

HÀNH ĐỘNG KHẨN CẤP

Cập nhật ngay lập tức: Nâng cấp phiên bản Exim lên 4.99.3 để loại bỏ hoàn toàn rủi ro.
Kiểm tra cấu hình: Xác định xem hệ thống có đang sử dụng USE_GNUTLS=yes hay không. Các bản build sử dụng OpenSSL không bị ảnh hưởng bởi lỗi này.
Rà soát hệ thống: Kiểm tra các dấu hiệu bất thường trong log SMTP liên quan đến các lệnh BDAT bất thường.

Nguồn tham khảo: The Hacker News

Liên hệ đội ngũ ứng cứu sự cố TMGS

Lỗ hổng Exim BDAT mới đe dọa thực thi mã từ xa trên các bản dựng GnuTLS