Exim 4.100.1, iki Yüksek önem dereceli Proxy Protocol hatası dahil dört açığı yamalıyor

Neler yayımlandı

Exim projesi, 18 Eylül 2026'da yaygın olarak kullanılan açık kaynak kodlu mail transfer agent'ında dört güvenlik açığını kapatan 4.100.1 sürümünü yayımladı. Resmi Exim duyurusuna ve securityonline.info'daki habere dayanan, dev.to'da yayımlanan bir düzeltme rehberine göre bu sette iki Yüksek önem dereceli Proxy Protocol açığı, bir Orta önem dereceli SMTP smuggling hatası ve bir Düşük önem dereceli GnuTLS use-after-free açığı yer alıyor. Bu gruptaki en yüksek CVSS puanı 7.5. Bakımcılar, aktif sömürüye veya herkese açık proof-of-concept koduna dair bir kanıt bulunmadığını bildiriyor.

Yüksek önem dereceli Proxy Protocol açıkları

Ciddi iki hata da Exim'in Proxy Protocol uygulamasında, yani ön taraftaki yük dengeleyicinin istemcinin özgün adresini arka uç sunucuya iletmek için kullandığı mekanizmada yer alıyor.

Sürüm 1 ayrıştırıcısında uzak bir saldırgan, heap tahsisinin sonundan yaklaşık 230 bayt öteyi okuyabilecek ve tek bir NUL baytlık yazma gerçekleştirebilecek durumda. Sürüm 2 ayrıştırıcısı ise başlatılmamış stack belleğini saldırgana geri sızdırıyor. İkisinin de ön koşulu aynı: bağlantıları Exim'e ulaşmadan önce sonlandıran, kendisi hatalı veya zaten ele geçirilmiş bir yukarı akış proxy'si. Bu koşul pratik saldırı yüzeyini daraltıyor; ancak hataların tam da çevrede başka bir şeyin çoktan ters gittiği anda erişilebilir hale geldiği anlamına da geliyor.

GnuTLS çökmesi ve SMTP smuggling

Kalan iki sorun daha düşük derecelendirilmiş olsa da dikkat gerektiriyor. GnuTLS kod yolundaki bir use-after-free, gelen e-postaları kabul eden süreci çökterek mesaj teslimatını kesebiliyor. Yalnızca varsayılan olmayan TLS-on-connect yapılandırmasında tetikleniyor; bu yüzden standart kurulumlar risk altında değil.

SMTP smuggling sorunu daha sinsice. DATA aşamasında bir reddedin ardından özenle hazırlanmış veriler gönderen bir saldırgan, içeriği gönderen tarafın günlüklerine kaydettiğinden farklı bir mesajın teslim edilmesini sağlayabiliyor. Alınan mesajın gönderilen mesajla eşleştiği bütünlük garantisi zayıflıyor; bu durum hem denetim kayıtları hem de filtreleme hatları açısından önem taşıyor.

Kimler etkileniyor

dev.to rehberine göre Proxy Protocol hataları ve SMTP smuggling açığı 4.83'ten 4.100'e kadar tüm Exim sürümlerini, GnuTLS use-after-free ise 4.98'den 4.100'e kadar olan sürümleri etkiliyor. 4.100.1, dört açığın tamamı için düzeltilmiş sürüm.

Ölçek fikri vermesi için, Exim parmak izi için yapılan bir ZoomEye araması 10.1 milyondan az bir farkla fazla varlık döndürdü. Rehber, bu sayının doğrulanmış savunmasız kurulumlar değil parmak izi eşleşmelerini yansıttığı konusunda uyarıyor; CVE-2026-94055 için yapılan CVE kapsamlı bir sorgu ise dizine eklenmiş sonuç döndürmedi.

Operatörler ne yapmalı

Öneri net: resmi Exim indirme aynasından 4.100.1'e yükseltin. Dört hatadan üçü geçici çözüm olmadan geliyor; bu yüzden yamalamak tek gerçek çare. Tek istisna GnuTLS use-after-free: varsayılan olmayan tls_early_banner_hosts seçeneğinin devre dışı bırakılması geçici bir önlem olarak işe yarıyor.

Yükseltmenin ardından operatörler çalışan sürümü doğrulamalı ve bağlantıları Exim'in önünde sonlandıran her proxy katmanını yeniden incelemeli; çünkü her iki Yüksek önem dereceli hata da hatalı veya ele geçirilmiş bir aracı varsayıyor. Smuggling açığı 4.100 dahil tüm sürümleri etkilediğinden, mesaj bütünlüğü denetimlerinin gözden geçirilmesi de öneriliyor.

Neden önemli

Exim, internetin SMTP altyapısının büyük bir bölümünde e-posta yönlendiriyor ve bu sürüm, tam da güvenilen bir çevre bileşeni düzgün çalışmadığında etkinleşen bellek ifşa hatalarını bir araya getiriyor. Dört hatadan üçü için kullanılabilir bir geçici çözüm yokken ve Proxy Protocol hataları ile stack verilerini uzak tarafa açtığından sömürünün fark edilmemesi mümkünken, yükseltme ucuz bir sigorta. SMTP smuggling açığı ise güvenliğin ötesinde operasyonel bir maliyet de taşıyor: teslim günlüklerinin teslim edilen mesajlarla eşleşmesine dayanan her sistem bu yamayı yalnızca bir sertleştirme adımı değil, bir doğruluk düzeltmesi olarak görmeli.