Chuyên gia cảnh báo lỗ hổng Exim có thể trở thành mục tiêu tấn công diện rộnghagtag

[Nguyễn Tiến Đạt]

Một lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trong Exim đang làm dấy lên lo ngại lớn trong cộng đồng an ninh mạng khi có thể cho phép tin tặc thực thi mã từ xa (RCE) trên các máy chủ email sử dụng Linux và Unix.

Lỗ hổng mang mã định danh CVE-2026-45185, còn được đặt tên là Dead.Letter, ảnh hưởng đến nhiều phiên bản Exim được biên dịch với thư viện TLS GnuTLS. Các chuyên gia cảnh báo đây có thể là một trong những lỗi nguy hiểm nhất từng được phát hiện trong Exim.

Lỗi xuất phát từ cơ chế xử lý BDAT qua TLS​

Theo thông báo từ nhóm phát triển Exim, lỗ hổng nằm trong quá trình xử lý dữ liệu SMTP dạng nhị phân thông qua tiện ích mở rộng CHUNKING (BDAT) khi kết nối TLS đang hoạt động.

Cụ thể, lỗi xảy ra khi máy khách gửi tín hiệu close_notify để đóng phiên TLS trước khi hoàn tất truyền dữ liệu BDAT, sau đó tiếp tục gửi thêm dữ liệu dạng văn bản thuần trên cùng kết nối TCP. Chuỗi hành động này khiến Exim ghi dữ liệu vào vùng bộ nhớ đã được giải phóng trước đó — một dạng lỗi “use-after-free” nổi tiếng nguy hiểm trong lĩnh vực bảo mật hệ thống.

Các nhà nghiên cứu cho biết chỉ một byte dữ liệu được ghi sai vị trí cũng đủ làm hỏng cấu trúc heap allocator của Exim, từ đó mở đường cho các kỹ thuật leo thang khai thác sâu hơn.

Chỉ ảnh hưởng đến bản dựng dùng GnuTLS​

Lỗ hổng ảnh hưởng đến các phiên bản Exim từ 4.97 đến 4.99.2, nhưng chỉ xảy ra trên những hệ thống được build với tùy chọn:
USE_GNUTLS=yes
Điều này đồng nghĩa:

• Các hệ thống sử dụng OpenSSL sẽ không bị ảnh hưởng.
• Những máy chủ mail dùng GnuTLS cần cập nhật khẩn cấp.

Phiên bản vá lỗi chính thức đã được phát hành trong:

• Exim 4.99.3

XBOW: “Một trong những lỗi nghiêm trọng nhất của Exim”​

Lỗ hổng được phát hiện bởi Federico Kirschbaum, trưởng nhóm Security Labs tại XBOW — nền tảng kiểm thử an ninh mạng tự động.

Theo XBOW, điểm đáng lo ngại nằm ở việc:

• Lỗi có thể bị kích hoạt từ xa,
• Không yêu cầu xác thực,
• Gần như không cần cấu hình đặc biệt trên máy chủ.

“Trong quá trình đóng TLS, Exim giải phóng bộ đệm truyền dữ liệu TLS nhưng lớp xử lý BDAT lồng bên trong vẫn tiếp tục hoạt động và ghi dữ liệu vào vùng nhớ đã giải phóng,” Kirschbaum giải thích.

XBOW nhận định đây là một trong những lỗi nghiêm trọng nhất từng được phát hiện trong Exim do mức độ nguy hiểm của việc hỏng bộ nhớ heap trên dịch vụ mạng công khai.

Nguy cơ lớn với hệ thống email Internet-facing​

Exim hiện là một trong những MTA phổ biến nhất trên Linux, đặc biệt trong:

• Máy chủ hosting,
• Email gateway doanh nghiệp,
• CPanel server,
• Hệ thống relay mail công cộng.

Điều này khiến phạm vi ảnh hưởng của CVE-2026-45185 trở nên đáng kể.

Giới chuyên gia cảnh báo rằng sau khi mã khai thác (PoC) xuất hiện công khai, nguy cơ tấn công hàng loạt có thể tăng nhanh, đặc biệt trên các hệ thống chưa được vá.

 

Được phối hợp thực hiện bởi các chuyên gia của Bkav, cộng đồng An ninh mạng Việt Nam WhiteHat và cộng đồng Khoa học công nghệ VnReview