AVIS CERTFR - 2021 - ALE - 008
ALERTE CERT
CERT-FR
Publié le 5 mai 2021 à 18h29 - Mis à jour le 31 janvier 2025 à 10h30
Objet
Multiples vulnérabilités dans Exim
Référence
CERTFR-2021-ALE-008
Risque(s)
- Non spécifié par l'éditeur
- Exécution de code arbitraire à distance
- Contournement de la politique de sécurité
- Élévation de privilèges
Systèmes affectés
- Exim versions antérieures à 4.94
Résumé
Le 5 mai 2021, Qualys a publié un bulletin de sécurité contenant 21 vulnérabilités affectant le serveur mail Exim. Quatre de ces vulnérabilités permettent une élévation de privilège et trois une exécution de code arbitraire. Ces vulnérabilités affectent toutes les versions de Exim antérieures à 4.94 et permettent in fine à un attaquant non authentifié de prendre le contrôle du serveur mail avec les privilèges du compte root.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Exim du 5 mai 2021 : https://www.exim.org/static/doc/security/CVE-2020-qualys/CVE-2020-28007-LFDIR.txt
- BlogPost de Qualys concernant les vulnérabilités : https://blog.qualys.com/vulnerabilities-research/2021/05/04/21nails-multiple-vulnerabilities-in-exim-mail-server
- Référence CVE CVE-2020-28007 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28007
- Référence CVE CVE-2020-28008 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28008
- Référence CVE CVE-2020-28014 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28014
- Référence CVE CVE-2021-27216 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-27216
- Référence CVE CVE-2020-28011 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28011
- Référence CVE CVE-2020-28010 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28010
- Référence CVE CVE-2020-28013 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28013
- Référence CVE CVE-2020-28016 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28016
- Référence CVE CVE-2020-28015 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28015
- Référence CVE CVE-2020-28012 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28012
- Référence CVE CVE-2020-28009 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28009
- Référence CVE CVE-2020-28017 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28017
- Référence CVE CVE-2020-28020 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28020
- Référence CVE CVE-2020-28023 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28023
- Référence CVE CVE-2020-28021 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28021
- Référence CVE CVE-2020-28022 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28022
- Référence CVE CVE-2020-28026 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28026
- Référence CVE CVE-2020-28019 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28019
- Référence CVE CVE-2020-28024 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28024
- Référence CVE CVE-2020-28018 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28018
- Référence CVE CVE-2020-28025 : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28025