Exim 4.100.1 安全更新修補四項遠端漏洞
oss-security mailing list · 2026-09-18
Exim 的 Proxy Protocol v1 解析器存在一段堆積溢位，遠端攻擊者只要透過設定有問題或遭入侵的代理伺服器，就能讓 Exim 讀取超出配置範圍約 230 bytes 的堆積資料，並寫入一個 NUL byte，足以造成堆積毀損。這項漏洞由 Bernard Quatermass 揭露，公告於 2026 年 9 月 18 日經 Solar Designer 轉貼至 oss-security 郵件論壇，Exim 專案同步發布 4.100.1 安全版本，一次修補四個獨立問題。四個問題各自有專屬的 EXIM-Security-2026-09-12.x 編號與對應的 GCVE-25-2026-09-50-1、GCVE-25-2026-09-51-1、GCVE-25-2026-09-55-1、GCVE-25-2026-09-56-1 識別碼，公告本身未附上 CVSS 分數。
漏洞機制
GCVE-25-2026-09-50-1 出在 Proxy Protocol v1 的封包解析路徑，攻擊者可誘使解析器越界讀取堆積記憶體並寫入一個 NUL byte，造成堆積毀損，官方將其列為高風險。觸發條件是 Exim 必須啟用並設定 Proxy Protocol，且中介的代理伺服器本身有問題或已遭入侵，因此屬於非預設組態下才會被打到的攻擊面。
GCVE-25-2026-09-55-1 則是 Proxy Protocol v2 版本剖析器裡的未初始化資料使用問題，由 watchTowr 的 McCaulay Hudson 回報。解析器在特定情況下會把尚未初始化的堆疊記憶體內容當成合法欄位送出去，等於把 process 記憶體中的殘留資料洩漏給遠端攻擊者，同樣被列為高風險，觸發前提與 v1 相同，都需要開啟 Proxy Protocol 並搭配異常的代理端。
GCVE-25-2026-09-51-1 是 GnuTLS 搭配 TLS-on-connect 路徑的 use-after-free。公告指出，遠端攻擊者能觸發該 UAF 並使接收行程當掉，問題只在啟用 tls_early_banner_hosts 選項、且 GnuTLS 版本為 3.6.4 以上並接受 TLS-on-connect 連線時才會出現，官方將嚴重度定為低，因為條件相對嚴苛且影響僅止於單一 process 崩潰。
GCVE-25-2026-09-56-1 是一種 SMTP smuggling 手法，同樣由 McCaulay Hudson 回報。攻擊者在 SMTP DATA 階段的訊息內容中，於一次被拒絕的資料後面夾帶精心構造的後續資料，導致 Exim 最終送出並記錄的訊息內容，與寄件端實際送出的內容不一致。這代表下游系統看到的訊息可能被竄改或分裂成攻擊者想要的形式，且不需要任何非預設設定即可觸發，官方列為中度風險。
受影響版本
四項漏洞的受影響範圍並不完全相同。Proxy Protocol v1 與 v2 的兩個問題（GCVE-25-2026-09-50-1、GCVE-25-2026-09-55-1）影響 4.83 到 4.100 版本，且都需要站台已啟用 Proxy Protocol 功能才會暴露在風險之中。GnuTLS use-after-free（GCVE-25-2026-09-51-1）的受影響範圍較窄，僅限 4.98 到 4.100，因為 tls_early_banner_hosts 相關程式碼是在較晚期版本才加入。SMTP smuggling（GCVE-25-2026-09-56-1）的公告文字寫的是「所有 4.100 之前的 Exim 版本」都受影響，範圍比其餘三者更廣，也是唯一不需要任何非預設組態即可觸發的問題。
修補與緩解
四個問題全部在 4.100.1 中一併修補，官方沒有針對 Proxy Protocol 的兩個高風險問題或 SMTP smuggling 問題另外列出緩解方式，意味著這三項只能靠升級到 4.100.1 才能徹底解決。若站台目前並未使用 Proxy Protocol，停用該功能等於直接移除這兩個漏洞的攻擊路徑，但這只是合理的組態收斂，並非公告本身提出的官方建議。唯一在公告中被明確列出的緩解措施，是針對 GnuTLS use-after-free：停用 tls_early_banner_hosts 這個功能選項，即可在還沒升級前先排除該項風險。跑 Exim 的郵件伺服器管理者應優先確認自己是否啟用 Proxy Protocol 或 tls_early_banner_hosts，藉此判斷哪些漏洞真正暴露在自己的環境中，再安排升級時程。
| 元件 | 漏洞類型 | 嚴重度 | 遠端觸發條件 |
|---|---|---|---|
Proxy Protocol v1（GCVE-25-2026-09-50-1） | 堆積越界讀取／寫入（堆積毀損） | 高 | 需啟用 Proxy Protocol，且代理端有問題或遭入侵 |
Proxy Protocol v2（GCVE-25-2026-09-55-1） | 未初始化資料洩漏 | 高 | 需啟用 Proxy Protocol，且代理端有問題或遭入侵 |
GnuTLS／TLS-on-connect（GCVE-25-2026-09-51-1） | Use-after-free | 低 | 需 GnuTLS 3.6.4+、TLS-on-connect，並啟用 tls_early_banner_hosts |
SMTP Reception（GCVE-25-2026-09-56-1） | SMTP smuggling | 中 | 無需非預設組態，只需在 DATA 拒絕點後夾帶精心構造內容 |
原始來源：oss-security mailing list：Exim Security Release 4.100.1