Доступен корректирующий выпуск почтового сервера Exim 4.98.1, в котором устранена уязвимость (CVE-2025-26794), позволяющая осуществить подстановку SQL-кода во внутреннюю БД (Hints DB), используемую для хранения информации о состоянии доставки сообщений...Подробнее: https://www.opennet.me/opennews/art.shtml?num=62770
Снес его чертям. Два раза через него ловил криптотроян
>Два раза через него ловил криптотроянТы думаешь, что кинул камень в огород exim?
На самом деле ты свою истинную "квалификацию" обнародовал :-)
Расскажи, как квалификация помогает от 0-day. Есть подозрение, что маркером высокой квалификации является как раз отсутствие сабжа в проде.
>Два раза через него ловил криптотроян
>от 0-dayХочешь сказать, что-бы конкретно тебе засадить криптотроян кто-то два раза использовал 0-day эксплоиты?
Ну ты и крут, однако!
Ты точно знаешь что значит 0-day?
А чел в общем то прав. Exim это самый дырявый MTA и этим всегда славился. Откройте любой exploitdb и посмотрите. В тех же postfix и sendmail не было найдено критических уязвимостей за последние 10 лет, а в Exim их много.
Не, тут правда вечно дырявый софт.
А через postfix и т.д. письмо с трояном послать не могут?
В соревнованиях на количество удалённо эксплуатируемых CVE уверенное лидерство у Exim.
Так из текста уважаемого Анонима не очень видно, он троян получил к себе на почту и установил сам жмакнув на вложении (тоесть екзим как МТА, и тогда как бы пофиг, что там МТА) или таки поломали сам екзим и установили трояна на почтовом сервере...
...не Анонима....
Правильно, зачем тебе почтовик на локалхосте?
Ни что так не врезалось в память, как периодические мелькания в новостях по поводу очередной уязвимости Exim, peшeтo какое-то.
Exim это фреймворк для собственного почтовика. Поэтому к нему нужны прямые руки, которых в комплекте не идёт. Мало натыкать в дебиановской конфигурялке опций и ждать, что всё будет окей. За конфигурялку эту им бы отдельно руки поотрывать, кстати.
Ещё один с прямыми руками и локалхостом. Как тебе прямота рук поможет от дыр в самом «фреймворке»? Никак.
что такое "конфигурялка"?
"Никогда такого не было, и вот опять!"Если и приходится где-то устанавливать MTA, то только Postfix.
>Если и приходится где-то устанавливать MTA, то только PostfixКогда в следующий раз будешь устанавливать МТА, обрати внимание на количество сторонних "костылей", необходимых Postfix'у, чтобы более-менее соответствовать современным функциям почты (DKIM, DMARC, SPF, SRS, MTA-STS, PRDR, ESMTP_Limits, Content_Scanning, LDAP, Redis, Sqlite - exim это все умеет сам). Потом посчитай CVE не только у голого Postfix, но и у этих сторонних "костылей". Ну а потом здраво рассуди, какой МТА устанавливать.
Т.е. в чудный exim уже засунули и DNS-сервер для SPF?!
Не удивительно, что он не вылезает из CVE.
Чел тупо не понимает, что половина технологий в списке у него это не задачи MTA, и скопировал список откуда-то не понимая смысла. Особенно орнул с Redis, Sqlite. Специально чекнул уязвимости в opendkim, postfix-mta-sts-resolver, PostSRSd и нашел ровно 0 уязвимостей. Postfix LDAP спокойно умеет. SRS нужен не всем и можно удалить из списка PostSRSd. PRDR Per-Recipient Data Responses вообще мертвая спецификация, которая не вышла из черновика, цитата с интернете "As a general rule, I find that it's not worth implementing draft specifications. This particular one hit a dead-end back in 2007, so it's likely to have a 0% chance of ever being accepted at this point.". The LIMITS SMTP Service Extension он же RFC 9422, тоже черновой стандарт, имеет статус предложенного "Proposed Standard" и еще не утвержден. Content_Scanning как я понял это Milter протокол через который можно подключать антивирусы и спам фильтры, и postfix его умеет. По итогу большинству нужен только opendkim.
Неспециалист, но все же вставлю свои пять копеек.
Postfix модульная программа (думаю как qmail), по этому все приблуды отдельными костылями. А как иначе соблюсти безопасность!??
А что ж он такой решетчатый-то? Типа, да, Си и все дела, но вот тут в комментариях говорят, что postfix и другие мейлеры не так часто ловят уязвимости. А постфикс тоже на Си
Зачем вообще почтовые сервера кто-то ставит локально? Даже для средней конторы нет в этом смысла. Только для очень больших федерального значения. Ибо тот, кто хоть раз настраивал, знает какая это БОЛЬ собственный почтовый сервер...
Устанавливал, настраивал (в т.ч. DKIM и SPIF) несколько раз. Ничего не болело. ЧЯДНТ?
> Устанавливал, настраивал (в т.ч. DKIM и SPIF) несколько раз. Ничего не болело.
> ЧЯДНТ?Видимо, потому что вы это делали на локалхосте?
Классика криворуков. "Я не осилил - значит сложно. А кто осилил - да он просто халтурил, не то что я". И можно продолжать спать спокойно.
У тебя всегда есть возможность показать свой мощный продакшен на Exim. _Всегда_. Но мы оба знаем, что дальше локалзоста дело у тебя не пошло, и пишет тебе на тот яшик только crond.
ИП Пупкин пытается таким образом сэкономить. А мелкая yokohama-tws, например, славно использует облака и сторонние ресурсы.
Для ИП Пупкин достаточно бесплатной почты на gmail, как и для мелких организаций.
ИП Пупкин даже не слышал, что можно свой почтовый сервер поднять. А в ООО Вектор хватаются за голову когда понимают что за всей этой муйней должен присматривать отдельный человек, чтобы письма очередного очень важного заказчика вообще к ним приходили. Считают расходы и оформляют подписку на Яндексе.
Для небольшой и средней контор есть Zimbra. Для начала хватить бесплатной, если приспичит - можно и на платную переползти. Если сразу готовы денег закинуть, или приспичило импортозаместиться - Communigate.
Надо было ставить https://stalw.art/
Все эти проблемы с привилегиями решаются тем, что Exim не должен иметь возможность повышать их себе после запуска, а просто слать письма по LMTP на IMAP-сервер, который сам разберётся что куда складывать и работает с виртуальными юзерами, а не с системными. А вообще в 2025 году всё это замечательно крутится в контейнерах и деплоится через k8s, так что даже на открытие портов привилегии почтовику не нужны.