Eximプロジェクトは5月4日(協定世界時)、「[exim] Exim 4.94.2 - security update released」において、メール転送エージェントEximの最新版となる「Exim 4.94.2」の公開を伝えた。このバージョンは脆弱性を修正するリリースとされており、Eximプロジェクトは可能な限り迅速にEximをアップデートすることを推奨している。

脆弱性の詳細は次のページに掲載されている。

弱性が存在するプロダクトおよびバージョンは次のとおり。

  • Exim 4.94.2よりも前のすべてのバージョン

脆弱性が修正されたプロダクトおよびバージョンは次のとおり。

  • Exim 4.94.2
  • 21Nails: Multiple Critical Vulnerabilities in Exim Mail Server｜Qualys Security Blog

    21Nails: Multiple Critical Vulnerabilities in Exim Mail Server ｜ Qualys Security Blog

今回の弱性はQualysの研究チームによって発見されたもので、「21Nails」という名称で呼ばれている。その由来は21個のセキュリティ脆弱性が発見されたことにある。CVE-2020-28017など脆弱性のほとんどが、Gitの使用が始まった2004年にまで遡ってすべてのバージョンに存在していたことが確認されている。

脆弱性の中には遠隔からroot権限を奪取できるものがあり、それらを悪用することで、遠隔からサーバの制御権の獲得、プログラムのインストール、データの変更、新しいアカウントの作成といったことができるとされており注意が必要。Qualysの研究者らは発見した脆弱性を用いて完全なroot権限を取得するエクスプロイトの開発に成功している。なお、このエクスプロイトを公開する予定はないとされている。

今回の脆弱性はかなり広範囲に影響を及ぼす可能性が高い。Eximは人気の高いメール転送エージェント（MTA: Mail Transfer Agent）で、最近の調査ではインターネットサーバの60%でEximが実行されていると報告されている。Shodanの検索結果は400万台のEximサーバがインターネット上で認識できることを示している。

MTAはフィッシング詐欺などマルウェアの感染を広める手口で使われることが多く、サイバー犯罪者は強い関心を持っている。今回明らかになったEximの脆弱性は今後多くのサイバー犯罪者に悪用されるおそれがあり注意が必要。該当するプログラムを使用している場合は直ちにアップデートを実施することが望まれる。