Exim على ديبيان: التحديث DSA-6265-1 يعالج ثغرة حرجة في BDAT (CVE-2026-45185) ومعه DSA-6309-1

أصدرت ديبيان في مايو 2026 تحديثين لـ Exim على ديبيان 12 (bookworm) وديبيان 13 (trixie). فقد عالج DSA-6265-1 في 12 مايو خمس ثغرات قالت ديبيان إنها قد تؤدي إلى تنفيذ تعليمات برمجية عن بُعد أو حجب الخدمة أو تسريب معلومات. وأبرزها CVE-2026-45185 الذي صنّفه مطوّرو Exim بأنه حرج (CVSS 9.8). ثم صدر DSA-6309-1 في 29 مايو لإصلاح تسرّب معلومات في التعامل مع بروتوكول PROXY.

إذا كان خادم البريد لديك يعمل بـ Exim ولم يُحدَّث منذ مطلع مايو، فتعامل مع الأمر على أنه عاجل.

نظرة سريعة

ما هي هذه الثغرات؟

CVE-2026-45185: استخدام ذاكرة بعد تحريرها أثناء BDAT (حرجة)

بحسب نشرة Exim يقع الخلل في الشيفرة الخاصة بـ GnuTLS. فإذا أرسل العميل تنبيه TLS من نوع close_notify في منتصف جسم رسالة تُنقل بأمر BDAT (امتداد CHUNKING)، ثم أرسل بايتًا إضافيًا بنص صريح على الاتصال نفسه، فقد يكتب Exim في ذاكرة سبق تحريرها أثناء إنهاء جلسة TLS فيُتلف الكومة. ولا يحتاج المهاجم إلا إلى فتح اتصال TLS واستخدام CHUNKING، أي دون أي تسجيل دخول. وتذكر Exim أن الإصدارات من 4.97 إلى 4.99.2 متأثرة، وفقط النسخ المبنية مع GnuTLS. وخدمات Exim في ديبيان مربوطة بمكتبة GnuTLS، وقد أصدرت ديبيان الإصلاح أيضًا للإصدار الأقدم 4.96 في bookworm. وتقول Exim إنه لا يوجد تخفيف سوى الترقية.

أربع ثغرات مرتبطة بالإعدادات

توضح تقييمات Exim متى تنطبق كل منها:

• CVE-2026-40685 (الدرجة 6.5): عند استخدام عوامل JSON في الإعدادات على مدخلات خارجية، وقد تسبب إتلافًا للكومة عن بُعد.
• CVE-2026-40687 (4.8): عند تفعيل أداة المصادقة spa، وقد توقف عملية الاتصال وتسرّب بيانات.
• CVE-2026-40686 (3.7): عند استخدام عوامل UTF-8 على مدخلات خارجية، وقد تتسرّب بيانات من الكومة.
• CVE-2026-40684 (5.9): تخص فقط النسخ المبنية على مكتبة musl بدل glibc، إذ قد يوقف سجل PTR مصمَّم أحد الاتصالات. وحزم ديبيان تستخدم glibc.

CVE-2026-48840: تسرّب عبر بروتوكول PROXY (DSA-6309-1)

تصنّف Exim هذه الثغرة بأنها متوسطة (CVSS 5.3). فعند ضبط hosts_proxy قد تدفع ترويسة PROXY v2 قصيرة Exim إلى نسخ ذاكرة غير مهيأة من المكدس إلى عنوان المرسل وإظهارها في رسالة الترحيب في SMTP. وتشير Exim إلى أن هذه البايتات المسرّبة قد تساعد المهاجم على تجاوز ASLR ضمن هجوم أوسع. ولا يتأثر إلا الخادم الذي يحتوي hosts_proxy غير فارغ، وهو غالبًا خادم يعمل خلف موزّع أحمال.

لا توجد أي من هذه الثغرات في فهرس CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).

هل أنت متأثر؟

dpkg-query -W -f='${Package} ${Version}\n' 'exim4*'
apt policy exim4-daemon-light exim4-daemon-heavy
exim4 -bV | head -3
sudo exim4 -bP hosts_proxy
sudo exim4 -bP authenticators | grep -i driver
sudo exim4 -bP config | grep -nE 'json|utf8'

إصدارات bookworm الأقدم من 4.96-15+deb12u9 وإصدارات trixie الأقدم من 4.98.2-1+deb13u2 معرّضة للثغرة CVE-2026-45185. أما إصلاح PROXY فيتطلب 4.96-15+deb12u10 أو 4.98.2-1+deb13u3 على الأقل.

طريقة التحديث

sudo apt update
sudo apt install --only-upgrade exim4 exim4-base exim4-config exim4-daemon-light exim4-daemon-heavy
apt policy exim4-daemon-light

عادةً تكون إحدى حزمتي الخدمة فقط مثبّتة، والخيار --only-upgrade يتجاوز الحزمة غير المثبّتة. وعلى trixie سيُثبَّت أحدث إصدار من Exim، وهو يتضمن أيضًا إصلاحات يوليو وسبتمبر اللاحقة.

هل يلزم إعادة التشغيل؟

لا حاجة إلى إعادة تشغيل الخادم. أعد تشغيل Exim لتعمل الخدمة بالملف التنفيذي الجديد، ثم تأكد من أنها تقبل البريد:

sudo systemctl restart exim4
sudo systemctl status exim4 --no-pager
sudo exim4 -bt postmaster

المصادر

• security-tracker.debian.org/tracker/DSA-6265-1
• debian.org/security/2026/dsa-6265
• lists.debian.org/debian-security-announce/2026/msg00176.html
• security-tracker.debian.org/tracker/DSA-6309-1
• debian.org/security/2026/dsa-6309
• lists.debian.org/debian-security-announce/2026/msg00220.html
• security-tracker.debian.org/tracker/DLA-4580-1
• security-tracker.debian.org/tracker/DLA-4615-1
• security-tracker.debian.org/tracker/CVE-2026-45185
• exim.org/static/doc/security/EXIM-Security-2026-05-01.1/EXIM-Security-2026-05-01.1.txt
• exim.org/static/doc/security/EXIM-Security-2026-05-19.1/EXIM-Security-2026-05-19.1.txt
• exim.org/static/doc/security/cve-2026-04.1
• cve.org/CVERecord?id=CVE-2026-45185
• cve.org/CVERecord?id=CVE-2026-40685
• cve.org/CVERecord?id=CVE-2026-48840
• cisa.gov/known-exploited-vulnerabilities-catalog
• packages.debian.org/source/trixie/exim4
• packages.debian.org/trixie/exim4-daemon-light
• manpages.debian.org/trixie/exim4-daemon-light/exim4.8.en.html