Onderwerp: [Security] Exim 4.76 Release

This is a SECURITY release: Exim versions 4.70 up to and including 4.75
contained a security hole (format string attack) permitting remote
execution of arbitrary code as the Exim run-time user. This is
CVE-2011-1764. There is also another, lesser security issue. Both lie
in the DKIM code and mitigation techniques are described below.

Note that as part of our work to improve Exim and protect against future
security issues, some changes were made to the code to pass gcc with
many more warnings enabled, and in some cases to compile with Clang.
Although feedback so far has been positive, there remains a chance that
these changes will cause compilation problems on lesser-tested
platforms; please raise any issues encountered on the exim-users
mailing-list.


BRON: DirectAdmin

Even voor de volledigheid: CentOS 4.x en 5.x worden geïnstalleerd met Exim 4.69 en deze versie is dus niet onderhevig aan voorgenoemde.

Oorspronkelijk geplaatst door dreamhost_nl

Even voor de volledigheid: CentOS 4.x en 5.x worden geïnstalleerd met Exim 4.69 en deze versie is dus niet onderhevig aan voorgenoemde.

Die aanname is te makkelijk. Versienummers zeggen weinig in CentOS omdat zij met backports werken.

Oorspronkelijk geplaatst door dreamhost_nl

Even voor de volledigheid: CentOS 4.x en 5.x worden geïnstalleerd met Exim 4.69 en deze versie is dus niet onderhevig aan voorgenoemde.

Ik zie het nut hier ook niet van in.
Immers, waarom noem je alleen de basic CentOS 4 en 5 installs, terwijl je weet dat menig CentOS zonder Exim installeerd omdat het achterliggende CP dat doet en niet het OS....

Ik mag toch aannemen dat een ieder systeembeheerder kijkt wat er draait, i.p.v. Ohhhh, ik heb CentOS 5 dus......
En hoe zit het met Debian, Ubuntu, en de rest....?

Oorspronkelijk geplaatst door dreamhost_nl

Even voor de volledigheid: CentOS 4.x en 5.x worden geïnstalleerd met Exim 4.69 en deze versie is dus niet onderhevig aan voorgenoemde.

Dit gaat niet op als je de custombuild gebruikt, aangezien dit compiled vanuit source.

Ik wil hier alleen maar mee aangeven dat het meerendeel van de mensen hier hoogstwaarschijnlijk de versies waar het hier over gaat niet zullen hebben draaien. Ik vind het originele bericht nl. nogal een hoog sensatiegehalte hebben en dat geef ik alleen maar aan. Doe er mee wat je wilt.

Oorspronkelijk geplaatst door dreamhost_nl

Ik wil hier alleen maar mee aangeven dat het meerendeel van de mensen hier hoogstwaarschijnlijk de versies waar het hier over gaat niet zullen hebben draaien.

Waar bezeer je dat op? ik denk dat je de plank nu nogmaals mis slaat.

Oorspronkelijk geplaatst door dreamhost_nl

Ik vind het originele bericht nl. nogal een hoog sensatiegehalte hebben en dat geef ik alleen maar aan.

Dat is een persoonlijke mening, ik heb het nog niet gelezen, maar je bent vrij om je systemen niet _up_to_date_ te houden....

Oorspronkelijk geplaatst door Geert-Jan

Waar bezeer je dat op? ik denk dat je de plank nu nogmaals mis slaat.

Inderdaad, vooral omdat 90% van de DA servers gewoon het custombuild script gebruikt (zoals je eigenlijk zou moeten doen om compatibiliteit met DA te behouden). Tenzij je natuurlijk al heel lang je server niet meer geupdate hebt, maar dan heb je ook andere exploits zoals die van proftpd etc om je zorgen over te maken.

De tekst die DirectAdmin plaatst is een 1:1 copie van de tekst die Exim zelf heeft uitgebracht over deze release. Dus dreamhost_nl lijkt de plank enorm mis te slaan.

Ubuntu is volgens mij al een update voor langsgekomen.

Oorspronkelijk geplaatst door dreamhost_nl

Even voor de volledigheid: CentOS 4.x en 5.x worden geïnstalleerd met Exim 4.69 en deze versie is dus niet onderhevig aan voorgenoemde.

Bijna goed, maar net niet

Statement:

Not vulnerable. This issue did not affect the versions of exim as shipped with
Red Hat Enterprise Linux 4 or 5 as they did not include support for DKIM.

https://bugzilla.redhat.com/show_bug...=CVE-2011-1764

Ach, laat ik nu net niet gezien hebben dat dit specifiek in het DA forum was gepost...
We maken geen gebruik van DA. Problem solved...

Hm, als ik ./build versions uitvoer, dan staat Exim er niet bij?
Kan dat kloppen? Ik heb 2.72 op dit moment....

Edit:
Moest even ./build update doen
Logisch :+

Oorspronkelijk geplaatst door Aar

Hm, als ik ./build versions uitvoer, dan staat Exim er niet bij?
Kan dat kloppen? Ik heb 2.72 op dit moment....

Edit:
Moest even ./build update doen
Logisch :+

http://help.directadmin.com/item.php?id=125
Zet dan ook gelijk IPv6=yes in het bestand Makefile

Custombuild 1.2 kan Exim updaten hoor . En dat is inmiddels ook gelukt...

Moet je wel custombuild 1.2 hebben draaien.

Zet dan ook gelijk IPv6=yes in het bestand Makefile

Niet nodig, staat er al in zag ik.