Neue Schwachstelle in Exim BDAT GnuTLS ermöglicht Code-Execution-Angriffe

Sicherheitslage und Risiko

Neue Exim-BDAT-GnuTLS-Schwachstelle Exim stellt die E-Mail-Verteilung für einen erheblichen Teil der Internet-Server weltweit sicher, insbesondere in Linux-basierten Umgebungen. Die Auswirkung dieses Schwachstellenbefunds ist weitreichend und betrifft alle Builds 4.97 bis 4.99.2, die mit Unterstützung für GnuTLS kompiliert wurden.

Dies umfasst einen großen Anteil der heute im Einsatz befindlichen Produktions-Mailserver und macht das Expositionsfenster zu einer echten Ursache für Besorgnis unter Systemadministratoren und Sicherheitsteams weltweit.

Das technische Kernstück dieser Schwachstelle ist ein Use-After-Fre-Fehler, eine bekannte Klasse, bei der ein Programm weiterhin auf eine Speicheradresse zugreift, nachdem diese bereits freigegeben wurde.

Technischer Hintergrund

Wenn Exim während einer aktiven BDAT-Sitzung mitten in der Übertragung eine TLS close_notify-Alarmmeldung empfängt, beginnt es intern, die TLS-Sitzung abzubauen. Das Problem besteht darin, dass die Eingabeverarbeitungsstapel zu diesem Zeitpunkt nicht korrekt zurückgesetzt wird, wodurch veraltete und gefährliche Speicherzeiger zurückgelassen werden.

Wenn der Angreifer daraufhin noch ein weiteres Byte in Klartext über dieselbe TCP-Verbindung sendet, versucht Exim, Daten mit einem Zeiger zu schreiben, der nun auf freigegebenen Speicher zeigt. Dieser Fehler führt zu einer Heap-Korruption, dem Speicherbereich, in dem das Programm aktive Daten und den laufenden Zustand speichert.

Unter günstigen Bedingungen kann ein Angreifer diese Korruption ausnutzen, um die Codeausführung umzuleiten und eigene Befehle auf dem Server auszuführen. Zu beachten ist, dass dieses Problem ausschließlich Exim-Builds betrifft, die mit dem Flag USE_GNUTLS=yes kompiliert wurden.

Sicherheitslage und Risiko

Server, die OpenSSL oder andere TLS-Bibliotheken verwenden, sind diesem spezifischen Angriffsvektor nicht ausgesetzt, was den betroffenen Bereich zwar einschränkt, dennoch jedoch eine große Anzahl ändig exponiert und gefährdet. Patch und empfohlene Maßnahme: Das Exim-Entwicklungsteam veröffentlichte am 12.

Mai 2026 Version 4.99.3, die die Schwachstelle vollständig behebt. Die Reparatur stellt die Eingabe-Verarbeitungsstapel sauber zurück, sobald eine TLS-Schließungsbenachrichtigung während eines aktiven BDAT-Transfers eingeht, wodurch die gesamte Ereigniskette unterbrochen wird, die zur Heap-Korruption führt.

Es ist keine bekannte Umgehung oder Konfigurationsänderung bekannt, die ein System vor dieser Bedrohung schützen könnte, ohne auf die neueste Version zu aktualisieren. Serveradministratoren, die Exim 4.97 bis 4.99.2 mit aktiviertem GnuTLS betreiben, sollten dies als dringende und hochprioritäre Aktualisierung behandeln.

Die gepatchte Version steht über den offiziellen Exim-FTP-Server und den Code-Repository für die sofortige Bereitstellung zur Verfügung. Sie uns auf