Exim – IoT OT Security News

Exim Server の脆弱性 CVE-2025-26794：パッチ未適用の SQL インジェクション

Multiple Exim Server Vulnerabilities Let Attackers Seize Control of the Server

2025/12/22 CyberSecurityNews — Exim メール・サーバに存在する深刻なセキュリティ脆弱性が、米国の National Institute of Standards and Technology セキュリティ研究者たちにより公表された。この脆弱性 CVE-2025-26794 を悪用するリモート攻撃者により、脆弱なシステムが完全に制御される恐れがある。この脆弱性が影響を及ぼすのは、SQLite ヒント・データベースを有効化した Exim バージョン 4.99 であり、数千台のメール・サーバが潜在的なセキュリティ侵害の脅威にさらされる。

Exim の脆弱性 CVE-2025-30232 が FIX：特定の条件下でローカル権限の昇格

CVE-2025-30232: Use-After-Free Vulnerability in Exim Exposes Systems to Privilege Escalation

2025/03/27 SecurityOnline — Unix システムで広く使用されている MTA (Message Transfer Agent) である Exim が、深刻なセキュリティ脆弱性に直面している。この脆弱性 CVE-2025-30232 は、特定の条件下でローカル権限の昇格を引き起こす可能性のある、解放後メモリ使用の欠陥である。

Exim MTA の脆弱性 CVE-2025-26794 が FIX：SQLi の PoC もリリース

Exim Mail Transfer Agent Vulnerable to Remote SQL Injection (CVE-2025-26794), PoC Published

2025/02/23 SecurityOnline — Unix 系システムで広く使用される MTA (Mail Transfer Agent) の Exim に、新たな脆弱性が発見された。この脆弱性 CVE-2025-26794 (CVSS：7.5) の悪用に成功したリモート攻撃者は、SQL インジェクション攻撃を引き起こす可能性を得る。

Exim Mail Server の深刻な脆弱性 CVE-2024-39929 が FIX：悪意の添付ファイルを通過させる

Critical Exim Mail Server Vulnerability Exposes Millions to Malicious Attachments

2024/07/12 TheHackerNews — Exim Mail Server でｓが公表したのは、悪意の添付ファイルを標的のユーザーの受信トレイに配信することを可能にする、メール転送エージェントに存在する深刻なセキュリティ上の問題である。この脆弱性 CVE-2024-39929 の CVSS スコアは 9.1 だが、すでにバージョン 4.98 で対処されている。

Exim が脆弱性 CVE-2023-42115 などにパッチ適用：悪用には特殊な環境が必要？

Exim patches three of six zero-day bugs disclosed last week

2023/10/02 BleepingComputer — Exim の３件の脆弱性に対して、パッチがリリースされた。匿名のセキュリティ研究者により発見され、Trend Micro の Zero Day Initiative (ZDI) を通じて公開された脆弱性 CVE-2023-42115 は、SMTP サービスに存在する Out-of-bounds Write の欠陥が起因するものだ。この脆弱性の悪用に成功したリモートの未認証の攻撃者は、サービス・アカウントのコンテキストで、コード実行を可能にするという。

Exim メールサーバにゼロデイ CVE-2023-42115：パッチ適用までの緩和策は？

Millions of Exim mail servers exposed to zero-day RCE attacks

2023/09/29 BleepingComputer — Exim MTA (Mail Transfer Agent) の、すべてのバージョンに存在する深刻なゼロデイ脆弱性により、インターネットに公開されたサーバ上で、未認証の攻撃者によるリモートコードを実行 (RCE) が引き起こされる可能性が生じている。匿名のセキュリティ研究者により発見され、Trend Micro の Zero Day Initiative (ZDI) を介して公開された脆弱性 CVE-2023-42115 は、SMTP サービスに存在する Out-of-bounds Write に起因するものだ。

有名どころメール・クライアントにも影響する STARTTLS の脆弱性とは？

Dozens of STARTTLS Related Flaws Found Affecting Popular Email Clients

2021/08/16 TheHackerNews — セキュリティ研究者たちは、メールのクライアントやサーバにおける、オポチュニスティックな暗号化メカニズムに関連する、40件もの脆弱性を公開した。これらの脆弱性は、侵入者によるメール・ボックス内容の偽造や、認証情報の窃取などを可能にする、標的型中間者 (man-in-the-middle: MitM) 攻撃の扉を開くかもしれない。今回パッチが適用された欠陥は、多様な STARTTLS の実装で確認されており、30th USENIX Security Symposium において、Damian Poddebniak、Fabian Ising、Hanno Böck、Sebastian Schinzel などの各研究者のグループが詳細を発表している。