Debian und Red Hat schließen Exim-Lücke
Die beiden Linux-Distributionen Debian und Red Hat stellen korrigierte Versionen des freien Mail-Servers Exim bereit. Sie schließen eine Lücke, durch die Eindringlinge Code ausführen könnten.
- Christian Kirsch
Vier Tage nach der Entdeckung einer Sicherheitslücke im freien Mail-Server Exim haben die Entwickler von Debian und Red Hat eine korrigierte Version für ihre Linux-Distributionen bereitgestellt. Debians neuer Exim enthält Fixes für einen Speicherfehler, der das Ausführen beliebigen Codes als Exim-User erlaubt. Er bietet noch keinen Schutz gegen eine weitere Lücke, durch die der Exim-User Root-Rechte erlangen kann. Hier wollen die Entwickler zunächst "Kompatibilitätsfragen" klären und dann so schnell wie möglich ein Update veröffentlichen. Die von Red Hat bereitgestellte Exim-Variante versperrt auch den Root-Zugang.
In den Exim-Quellen ist der Fehler seit Ende 2008 mit Version 4.70 behoben. Die Korrektur war jedoch nicht als sicherheitsrelevant gekennzeichnet, weshalb sie nicht in ältere Versionen einfloss. Debian nutzt für seine stabile Distribution Lenny noch Exim 4.69, bei Red Hat ist es 4.43. (ck)
