Exim Mail Transfer Agent (MTA) のOSコマンドインジェクションの脆弱性（CVE-2019-10149）

何が起きた

メールを配送するソフト Exim の deliver_message() という処理で、メールの宛先（受取人のアドレス）を正しく確かめていない弱点が見つかりました。細工した宛先を使うと、離れた場所から命令（コマンド）を実行されるおそれがあります。NVD の評価では、ネットワーク経由で、ログインも被害者の操作もなしに悪用できるとされています。この弱点は、実際の攻撃に使われたことが CISA によって確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Exim をメールサーバーとして使っている組織が対象です。NVD の説明と Exim の公式の告知によると、影響を受けるのは 4.87 から 4.91 までのバージョンです。Exim の告知では、どれだけ危険かは設定が標準の設定にどれだけ近いかによって変わるとされています。

何をすればいい

Exim の公式の告知では、4.92 はこの弱点の影響を受けないとされています。Exim が 4.92 以降になっているか確認してください。Linux の配布元（ディストリビューション）から入れている場合は、配布元が出した修正済みのパッケージに更新してください。Exim の公式の案内を確認してください。

やることチェックリスト

• Exim を 4.92 以降に更新する
• 配布元の修正済みパッケージに更新する
• 4.87 から 4.91 の Exim が残っていないか調べる

用語メモ

Exim

Linux などで広く使われている、メールを配送するためのサーバーソフトです。

コマンド

コンピューターに何かをさせるための命令です。攻撃者に実行されると、機器を操られるおそれがあります。

ディストリビューション

Linux 本体と多くのソフトをまとめて配っているもの（Debian や Ubuntu など）です。