{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[{"description":"Exim versions ant\u00e9rieures \u00e0 4.96.1 ou 4.97","product":{"name":"N/A","vendor":{"name":"Exim","scada":false}}}],"affected_systems_content":"","closed_at":"2024-02-16","content":"## Contournement provisoire\n\nL'\u00e9diteur ne propose pas de correctif pour les trois vuln\u00e9rabilit\u00e9s\nCVE-2023-42117, CVE-2023-42118 et CVE-2023-42119. Les mesures de\ncontournement propos\u00e9es consistent \u00e0 :\n\n-   Pour CVE-2023-42117 : recourir \u00e0 un relai (*proxy*) de confiance\n    utilisant le protocole PROXY ;\n-   Pour CVE-2023-42118 : ne pas utiliser de *macro* *spf* dans les\n    directives de configuration d\u00e9finissant les listes de contr\u00f4les\n    d'acc\u00e8s (Access Control Lis*ts* ou *ACL*) ;\n-   Pour CVE-2023-42119 : utiliser un r\u00e9solveur DNS de confiance, \u00e9tant\n    en mesure de valider les donn\u00e9es en fonction des types\n    d'enregistrements DNS. Cependant, la description du contournement\n    propos\u00e9 par l'\u00e9diteur ne permet pas de proposer un produit r\u00e9pondant\n    \u00e0 cette exigence.\n\n## Solution\n\nLe CERT-FR incite fortement \u00e0 mettre \u00e0 jour Exim \u00e0 la derni\u00e8re version\n4.96.1 ou 4.97 afin de corriger les vuln\u00e9rabilit\u00e9s CVE-2023-42114,\nCVE-2023-42115 et CVE-2023-42116 d\u00e8s la disponibilit\u00e9 des sources ou des\npaquets par l'\u00e9diteur ou les distributions Linux.\n\nL'installation des correctifs pour les autres vuln\u00e9rabilit\u00e9s devra \u00eatre\nr\u00e9alis\u00e9e d\u00e8s leur disponibilit\u00e9.\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l'\u00e9diteur ou des distributions\nLinux pour l'obtention des correctifs (cf. section Documentation).","cves":[{"name":"CVE-2023-42118","url":"https://www.cve.org/CVERecord?id=CVE-2023-42118"},{"name":"CVE-2023-42116","url":"https://www.cve.org/CVERecord?id=CVE-2023-42116"},{"name":"CVE-2023-42115","url":"https://www.cve.org/CVERecord?id=CVE-2023-42115"},{"name":"CVE-2023-42117","url":"https://www.cve.org/CVERecord?id=CVE-2023-42117"},{"name":"CVE-2023-42119","url":"https://www.cve.org/CVERecord?id=CVE-2023-42119"},{"name":"CVE-2023-42114","url":"https://www.cve.org/CVERecord?id=CVE-2023-42114"}],"links":[],"reference":"CERTFR-2023-ALE-010","revisions":[{"description":"Version initiale","revision_date":"2023-10-02T00:00:00.000000"},{"description":"Cl\u00f4ture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l'exploitation de la vuln\u00e9rabilit\u00e9 correspondante.","revision_date":"2024-02-16T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"},{"description":"Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"},{"description":"Atteinte \u00e0 l'int\u00e9grit\u00e9 des donn\u00e9es"},{"description":"Contournement de la politique de s\u00e9curit\u00e9"}],"summary":"Le 27 septembre 2023, Zero Day Initiative (ZDI) a publi\u00e9 six avis de\ns\u00e9curit\u00e9 \\[1\\] concernant des vuln\u00e9rabilit\u00e9s de type z\u00e9ro-jour affectant\nles versions ant\u00e9rieures \u00e0 4.96.1 ou 4.97 de l'agent de transfert de\ncourriels (*Mail Transfer Agent* ou *MTA*) Exim. Le 1er octobre 2023,\nl'\u00e9diteur a publi\u00e9 un avis de s\u00e9curit\u00e9 \\[2\\] contenant les d\u00e9tails des\nsix vuln\u00e9rabilit\u00e9s d\u00e9couvertes par ZDI.\n\nL'\u00e9diteur annonce dans son bulletin du 1er octobre 2023 la\ncorrection,\u00a0dans les versions 4.96.1 et 4.97 d'Exim, de trois\nvuln\u00e9rabilit\u00e9s affectant la gestion de l'authentification :\n\n-   Les vuln\u00e9rabilit\u00e9s identifi\u00e9es CVE-2023-42114 et CVE-2023-42116\n    ayant respectivement un score *CVSSv3* de 3.7 et 8.1 sont pr\u00e9sentes\n    dans le sous-syst\u00e8me *SPA/NTLM.* Ce dernier introduit une faiblesse\n    dans la validation des entr\u00e9es utilisateurs lors du traitement des\n    demandes de d\u00e9fis (*challenges*) *NTLM.* Un attaquant distant est en\n    mesure de provoquer une atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es et\n    une ex\u00e9cution de code arbitraire ;\n-   La vuln\u00e9rabilit\u00e9 CVE-2023-42115, avec un score *CVSSv3* de 9.8, est\n    li\u00e9e \u00e0 l'impl\u00e9mentation du m\u00e9canisme *EXTERNAL* de la couche\n    d'authentification et de s\u00e9curit\u00e9 simple (*Simple Authentication and\n    Security Layer* ou *SASL*). Un manque de validation des donn\u00e9es\n    fournies par l'utilisateur permet \u00e0 un attaquant distant de tenter\n    une ex\u00e9cution de code arbitraire.\n\nCependant, \u00e0 la date de publication initiale de cette alerte, l'\u00e9diteur\nne propose pas de correctif pour les trois vuln\u00e9rabilit\u00e9s suivantes :\n\n-   La vuln\u00e9rabilit\u00e9 CVE-2023-42117 ayant un score *CVSSv3* de 8.1 est\n    li\u00e9e \u00e0 la gestion du protocole PROXY. Un manque de validation des\n    donn\u00e9es soumises par l'utilisateur peut permettre \u00e0 un attaquant\n    distant de compromettre l'int\u00e9grit\u00e9 des donn\u00e9es en m\u00e9moire et de\n    tenter une ex\u00e9cution de code arbitraire.\n-   La vuln\u00e9rabilit\u00e9 identifi\u00e9e CVE-2023-42118 a un score *CVSSv3* de\n    7.5. Un attaquant adjacent au r\u00e9seau peut tenter une ex\u00e9cution de\n    code arbitraire vers les versions affect\u00e9es de la biblioth\u00e8que\n    *libspf2* incluse dans Exim.\n-   Enfin, la vuln\u00e9rabilit\u00e9 dont le num\u00e9ro d'identification est\n    CVE-2023-42119 est r\u00e9f\u00e9renc\u00e9e avec un score *CVSSv3* de 3.1. Elle\n    est introduite par le sous-syst\u00e8me de recherches DNS : un manque de\n    validation des donn\u00e9es fournies par l'utilisateur peut entra\u00eener une\n    lecture au-del\u00e0 du tampon allou\u00e9. Un attaquant adjacent au r\u00e9seau\n    peut alors, en conjonction avec d'autres vuln\u00e9rabilit\u00e9s, tenter une\n    ex\u00e9cution de code arbitraire dans le contexte du compte de service.\n\n\u00a0\n","title":"Multiples vuln\u00e9rabilit\u00e9s dans Exim","vendor_advisories":[{"published_at":"2023-09-27","title":"Bulletin de s\u00e9curit\u00e9 ZDI 23-1469","url":"https://www.zerodayinitiative.com/advisories/ZDI-23-1469/"},{"published_at":"2023-09-27","title":"Bulletin de s\u00e9curit\u00e9 ZDI 23-1470","url":"https://www.zerodayinitiative.com/advisories/ZDI-23-1470/"},{"published_at":"2023-09-27","title":"Bulletin de s\u00e9curit\u00e9 ZDI 23-1473","url":"https://www.zerodayinitiative.com/advisories/ZDI-23-1473/"},{"published_at":"2023-09-27","title":"Bulletin de s\u00e9curit\u00e9 ZDI 23-1472","url":"https://www.zerodayinitiative.com/advisories/ZDI-23-1472/"},{"published_at":"2023-10-01","title":"[2] Bulletin de s\u00e9curit\u00e9 Exim","url":"https://www.exim.org/static/doc/security/CVE-2023-zdi.txt"},{"published_at":"2023-09-27","title":"[1] Bulletin de s\u00e9curit\u00e9 ZDI 23-1468","url":"https://www.zerodayinitiative.com/advisories/ZDI-23-1468/"},{"published_at":"2023-09-27","title":"Bulletin de s\u00e9curit\u00e9 ZDI 23-1471","url":"https://www.zerodayinitiative.com/advisories/ZDI-23-1471/"}]}