«Уязвимость связана со службой smtp, которая по умолчанию прослушивает TCP-порт 25, — сообщают специалисты ZDI. — Проблема возникает из-за отсутствия надлежащей проверки предоставляемых пользователем данных, что может привести к записи за пределы буфера. Злоумышленник может использовать эту уязвимость для выполнения кода в контексте учетной записи службы».
«Мы уведомили сопровождающих о нашем намерении публично раскрыть информацию об этих ошибках, после чего нам ответили: “делайте, что делаете”, — сообщают в ZDI. — Если ошибки будут надлежащим образом устранены, мы обновим наши рекомендации, добавив ссылки на бюллетени безопасности, проверки и любую другую общедоступную документацию, связанную с этими проблемами».
«Похоже, к этим уязвимостям отнеслись небрежно как на стороне ZDI, так и на стороне Exim. Ни одна из команд не пинговала другую в течение 10 месяцев, а Exim потребовалось четыре месяца, чтобы исправить даже те две проблемы, по которым они получили достаточную информацию».