Lỗ hổng CVE trong Exim được công bố là EXIM-Security-2026-05-01.1, cho phép kẻ tấn công từ xa làm hỏng bộ nhớ máy chủ và có thể thực thi mã độc mà không cần đặc quyền hay thông tin xác thực. Sự cố này ảnh hưởng đến tin tức bảo mật liên quan đến các máy chủ mail dùng Exim với backend GnuTLS.
Lỗ hổng CVE trong Exim và phạm vi ảnh hưởng
Lỗ hổng được công bố ngày 12/05/2026 sau quy trình disclosure có phối hợp từ đầu tháng 5. Theo thông tin công bố, lỗi nằm trong nhánh Exim có hỗ trợ GnuTLS và ảnh hưởng tới các bản dựng từ 4.97 đến 4.99.2 khi được biên dịch với USE_GNUTLS=yes.
Đây là một lỗ hổng CVE nghiêm trọng vì không yêu cầu đăng nhập, không cần tài khoản đặc biệt và chỉ cần khả năng mở kết nối TLS tới máy chủ Exim. Xem thêm thông tin tham chiếu về cơ chế khai thác lỗ hổng tại NVD.
Cơ chế kích hoạt
Lỗi xảy ra trong GnuTLS backend, thành phần xử lý truyền thông email mã hóa qua TLS. Kỹ thuật khai thác dựa trên lệnh BDAT, thuộc mở rộng CHUNKING của giao thức SMTP, được dùng để gửi nội dung thư lớn theo từng phần.
Khi máy khách đang gửi dữ liệu qua BDAT, nếu kẻ tấn công gửi một cảnh báo TLS close_notify trước khi phần thân thư hoàn tất, rồi tiếp tục gửi thêm một byte ở dạng plain text trên cùng kết nối TCP, trạng thái xử lý nội bộ của Exim trở nên không ổn định.
Điều kiện tấn công
- Máy chủ chạy Exim 4.97 đến 4.99.2.
- Exim được biên dịch với GnuTLS.
- Kết nối SMTP cho phép sử dụng BDAT.
- Kẻ tấn công chỉ cần truy cập mạng tới dịch vụ mail.
Phân tích kỹ thuật lỗ hổng CVE
Về bản chất, đây là một use-after-free. Khi Exim nhận close_notify trong lúc đang xử lý BDAT, nó bắt đầu giải phóng phiên TLS bên trong. Vấn đề là ngăn xếp xử lý đầu vào không được đặt lại đúng cách, khiến các con trỏ bộ nhớ cũ vẫn tồn tại.
Khi byte tiếp theo được đưa vào sau khi phiên TLS đã bị tháo gỡ, Exim cố ghi dữ liệu bằng một con trỏ trỏ vào vùng nhớ đã được giải phóng. Điều này làm hỏng heap, tức vùng nhớ chứa dữ liệu hoạt động và trạng thái chạy của tiến trình.
Trong điều kiện phù hợp, việc phá hủy cấu trúc heap có thể bị lợi dụng để redirect code execution và chạy lệnh tùy ý trên máy chủ. Đây là điểm khiến lỗ hổng CVE này vượt ra ngoài mức lỗi crash thông thường.
Tác động hệ thống
- Hỏng bộ nhớ tiến trình Exim.
- Nguy cơ remote code execution.
- Ảnh hưởng trực tiếp tới dịch vụ chuyển phát thư.
- Rủi ro hệ thống bị tấn công trên các máy chủ mail production.
Điều kiện không bị ảnh hưởng
Lỗi này chỉ áp dụng cho các bản Exim được biên dịch với USE_GNUTLS=yes. Các hệ thống sử dụng OpenSSL hoặc thư viện TLS khác không đi theo đường tấn công cụ thể này.
Điều đó làm thu hẹp phạm vi ảnh hưởng, nhưng vẫn để lại một số lượng lớn máy chủ trong trạng thái rủi ro bảo mật nếu chưa được vá.
Phiên bản đã vá và khuyến nghị cập nhật bản vá
Nhóm phát triển Exim đã phát hành 4.99.3 vào ngày 12/05/2026. Bản phát hành này sửa triệt để lỗi bằng cách đặt lại ngăn xếp xử lý đầu vào mỗi khi có TLS close notification trong một phiên BDAT đang hoạt động.
Không có workaround hay thay đổi cấu hình nào được ghi nhận để bảo vệ hệ thống ngoài việc nâng cấp. Đây là trường hợp cần cập nhật bản vá khẩn cấp cho các máy chủ đang chạy Exim 4.97 đến 4.99.2 với GnuTLS bật sẵn.
Hành động khuyến nghị
- Kiểm tra phiên bản Exim đang triển khai.
- Xác nhận máy chủ có được biên dịch với GnuTLS hay không.
- Lên kế hoạch update vá lỗi lên 4.99.3.
- Ưu tiên các hệ thống mail exposed ra Internet.
IOC
Không có IOC dạng malware, ransomware, phishing hay dấu hiệu xâm nhập cụ thể nào được cung cấp trong nội dung gốc.
Lệnh CLI kiểm tra phiên bản Exim
exim -bVLệnh trên dùng để xác định phiên bản Exim và các tùy chọn biên dịch, từ đó kiểm tra hệ thống có nằm trong nhóm lỗ hổng CVE hay không.
Ví dụ cấu hình cần lưu ý
Nếu hệ thống được build với GnuTLS, cần xem lại cấu hình triển khai và gói cài đặt tương ứng. Mấu chốt không nằm ở tinh chỉnh runtime mà ở việc chuyển sang bản đã vá.
# Ví dụ định hướng kiểm tra build-time option
USE_GNUTLS=yesĐiểm kỹ thuật cần ghi nhớ
- BDAT là yếu tố kích hoạt bắt buộc trong chuỗi lỗi.
- close_notify giữa phiên chuyển dữ liệu làm hỏng trạng thái nội bộ.
- Heap corruption là bước dẫn tới khả năng thực thi mã.
- 4.99.3 là bản đã xử lý triệt để.
