Exim على ديبيان 13: التحديث DSA-6522-1 (تهريب SMTP وثغرات PROXY) والتحديث DSA-6400-1 (رفع الصلاحيات محليًا)

أصدرت ديبيان تحديثين إضافيين لـ Exim على ديبيان 13 (trixie) بعد إصلاحات مايو. فقد عالج DSA-6400-1 في 24 يوليو 2026 ثغرتين قد تسمحان لمستخدم محلي برفع صلاحياته، ثم عالج DSA-6522-1 في 27 سبتمبر 2026 ثلاث مشكلات تقول ديبيان إنها قد تؤدي إلى تهريب SMTP أو كشف معلومات أو حجب الخدمة أو تنفيذ تعليمات برمجية.

لم يصل أي من التحديثين إلى ديبيان 12 (bookworm). وحتى 31 أكتوبر 2026 يعرض متتبّع الأمان في ديبيان نسخة Exim في bookworm (4.96-15+deb12u10) على أنها متأثرة بالثغرات الخمس، دون نشرة LTS حتى الآن.

نظرة سريعة

ما هي هذه الثغرات؟

يوليو: رفع الصلاحيات محليًا (DSA-6400-1)

• CVE-2026-66140 (Exim: عالية، CVSS 8.4): وسائط سطر الأوامر المخصصة لتمرير اسم الطابور داخل سلسلة تنفيذ Exim نفسها يمكن استغلالها للوصول إلى ملفات خارج مجلد spool، وقد يؤدي ذلك إلى رفع الصلاحيات. وتقول Exim إن المهاجم يحتاج إلى وصول لسطر الأوامر على النظام، ولا تذكر أي تخفيف.
• CVE-2026-66141 (Exim: متوسطة): يستطيع مستخدم محلي لديه ملف .forward استخدام توسيع نصي يرفع صلاحياته في إعداد محدد فقط، ويجب أن تجتمع فيه الشروط التالية: موجّه redirect لملفات .forward، وناقل pipe يمكن الوصول إليه منه، وضبط الخيار force_command على هذا الناقل، وتشغيل الناقل بمستخدم ذي صلاحيات. والتخفيف الذي توصي به Exim هو عدم ضبط force_command على نواقل pipe.

وقد أصلحت Exim الثغرتين في الإصدار الأصلي 4.99.5.

سبتمبر: بروتوكول PROXY وتهريب SMTP (DSA-6522-1)

• CVE-2026-94054 (Exim: عالية): عند استخدام بروتوكول PROXY قد يدفع وكيل معيب أو مخترق Exim إلى القراءة خارج حدود مخزن في الكومة وكتابة بايت NUL.
• CVE-2026-94056 (Exim: عالية): في الإعداد نفسه قد تتسرّب بيانات من المكدس إلى الطرف البعيد.
• CVE-2026-94057 (Exim: متوسطة): تهريب SMTP؛ فإذا رُفضت رسالة أثناء مرحلة DATA وتبع نقطة الرفض بيانات مصمَّمة، فقد يقبل Exim رسالة مختلفة عن تلك التي أرسلها النظام المرسِل وسجّلها. وتنبّه Exim إلى أن الرسالة المهرَّبة تمر مع ذلك بالمعالجة المعتادة لديك. وتشمل كل إصدارات Exim حتى 4.100، ولا يوجد لها تخفيف.

أصلحت Exim هذه الثغرات في الإصدار الأصلي 4.100.1. ولا توجد أي من الثغرات الخمس في فهرس CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).

هل أنت متأثر؟

dpkg-query -W -f='${Package} ${Version}\n' 'exim4*'
apt policy exim4-daemon-light exim4-daemon-heavy
sudo exim4 -bP hosts_proxy
sudo exim4 -bP transports | grep -nE 'driver|force_command|user'

يحتاج trixie إلى 4.98.2-1+deb13u5 ليشمل كل ما سبق. أما على bookworm فلا تهم ثغرتا PROXY إلا إذا كان hosts_proxy مضبوطًا، ولا تنطبق CVE-2026-66141 إلا مع force_command على ناقل pipe، وتتطلب CVE-2026-66140 حسابًا محليًا بصدفة أوامر، بينما تنطبق ثغرة التهريب على أي خادم Exim يستقبل البريد.

طريقة التحديث

على ديبيان 13 (trixie):

sudo apt update
sudo apt install --only-upgrade exim4 exim4-base exim4-config exim4-daemon-light exim4-daemon-heavy
apt policy exim4-daemon-light

أما على ديبيان 12 (bookworm) فلا يوجد إصلاح لتثبيته حتى الآن. وإلى أن تظهر نشرة DLA في صفحة exim4 في المتتبّع:

• أزل force_command من نواقل pipe كما توصي Exim.
• اترك hosts_proxy فارغًا ما لم تحتج إليه، وإن احتجت إليه فاقصره على العناوين الدقيقة للوكيل الخاص بك.
• اقصر حسابات الصدفة على خوادم البريد على المسؤولين.
• خطط للانتقال إلى trixie حيث تتوفر هذه الإصلاحات بالفعل.

هل يلزم إعادة التشغيل؟

لا حاجة إلى إعادة تشغيل الخادم. أعد تشغيل Exim وتأكد من أنه يعمل:

sudo systemctl restart exim4
sudo systemctl status exim4 --no-pager
exim4 -bV | head -1

المصادر

• security-tracker.debian.org/tracker/DSA-6522-1
• debian.org/security/2026/dsa-6522
• lists.debian.org/debian-security-announce/2026/msg00435.html
• security-tracker.debian.org/tracker/DSA-6400-1
• debian.org/security/2026/dsa-6400
• lists.debian.org/debian-security-announce/2026/msg00311.html
• security-tracker.debian.org/tracker/exim4
• security-tracker.debian.org/tracker/CVE-2026-66140
• security-tracker.debian.org/tracker/CVE-2026-94057
• exim.org/static/doc/security/EXIM-Security-2026-06-22.1/EXIM-Security-2026-06-22.1.txt
• exim.org/static/doc/security/EXIM-Security-2026-06-22.3/EXIM-Security-2026-06-22.3.txt
• exim.org/static/doc/security/EXIM-Security-2026-09-12.1/EXIM-Security-2026-09-12.1.txt
• exim.org/static/doc/security/EXIM-Security-2026-09-12.2/EXIM-Security-2026-09-12.2.txt
• exim.org/static/doc/security/EXIM-Security-2026-09-12.4/EXIM-Security-2026-09-12.4.txt
• cve.org/CVERecord?id=CVE-2026-66140
• cve.org/CVERecord?id=CVE-2026-94054
• cve.org/CVERecord?id=CVE-2026-94057
• cisa.gov/known-exploited-vulnerabilities-catalog
• manpages.debian.org/trixie/exim4-daemon-light/exim4.8.en.html