Vulnérabilité critique dans Exim : vos serveurs Linux sont-ils protégés ?

La sécurité de la messagerie est un pilier de toute infrastructure d’entreprise. Une annonce récente a fortement secoué le paysage de la cybersécurité : une vulnérabilité critique dans Exim, le MTA open source très répandu sur d’innombrables serveurs Linux. Il s’agit de la CVE-2026-45185, surnommée « Dead.Letter », avec un risque majeur d’exécution de code à distance.

Comprendre CVE-2026-45185 (Dead.Letter)

Exim est une cible attractive : logiciel libre largement adopté sur les systèmes de type Unix pour la messagerie. Dead.Letter est un défaut de type use-after-free qui apparaît lors du traitement du corps de message BDAT (Binary Data Transmission), lorsque TLS est géré par GnuTLS. Toutes les installations d’Exim ne sont pas concernées : seules les constructions configurées avec USE_GNUTLS=yes sont exposées.

Mécanisme d’exploitation

Le scénario, bien que spécifique, est préoccupant par son impact potentiel. Un attaquant peut déclencher la faille en envoyant une alerte TLS close_notify avant la fin du transfert BDAT du corps, puis, sur la même connexion TCP, un dernier octet en clair. Cette séquence peut amener Exim à écrire dans une zone mémoire déjà libérée lors du démontage de la session TLS, entraînant une corruption du tas. Selon Federico Kirschbaum, qui a découvert le problème, l’écriture d’un simple caractère de saut de ligne (\n) sur les métadonnées de l’allocateur mémoire d’Exim suffit à corrompre des structures internes et, ultérieurement, à obtenir des primitives d’exécution de code. L’exploit nécessiterait une configuration minimale côté serveur, ce qui élargit la surface d’attaque.

Implications techniques et métier

L’exécution de code à distance sur un serveur de messagerie peut permettre à un attaquant de :

• Prendre le contrôle du serveur et accéder à des informations sensibles et aux identifiants.
• Propager des menaces en relayant spam, hameçonnage ou malware — au détriment de la réputation.
• Perturber le service par déni de service sur le flux de messagerie.
• Exfiltrer des données : courriels confidentiels, listes clients, secrets d’affaires.
• Pivoter vers le reste du réseau en utilisant le MTA compromis comme tremplin.

Pour les entreprises qui s’appuient sur Exim, la vulnérabilité menace directement la continuité d’activité, la confidentialité et la réputation.

Correctif et atténuation

Exim a corrigé ce défaut dans la version 4.99.3. Le correctif garantit que la pile de traitement des entrées est réinitialisée proprement lorsqu’une notification de fermeture TLS arrive pendant un transfert BDAT actif, évitant l’usage de pointeurs obsolètes.

Actions immédiates :

• Mise à jour prioritaire : les organisations utilisant Exim 4.97 à 4.99.2 avec GnuTLS doivent passer à 4.99.3 dès que possible. Aucune mesure de contournement ne remplace intégralement le correctif.
• Audits réguliers de la messagerie : configurations, politiques et correctifs appliqués.
• Durcissement des serveurs Linux : réduction des services exposés, pare-feu, moindre privilège, segmentation réseau — surtout pour l’exposition Internet.
• Supervision et réponse aux incidents : détection des comportements anormaux sur les MTA et plan d’intervention éprouvé.

Au-delà de la vulnérabilité : une leçon récurrente

Ce n’est pas la première fois qu’Exim fait face à des use-after-free critiques. Fin 2017, une faille similaire (CVE-2017-16943) dans le démon SMTP permettait également l’exécution de code à distance et a été corrigée. Ce schéma souligne l’importance d’une gestion rigoureuse des correctifs et d’une veille continue sur les logiciels critiques comme les MTA. L’actualité récente — incidents autour notamment de MOVEit Automation ou Apache HTTP/2 — rappelle que les briques d’infrastructure demeurent une cible constante.

Comment ITCS VIP peut vous accompagner

Chez ITCS VIP, nous aidons les organisations à sécuriser des infrastructures critiques :

• Audits de messagerie : examen des chemins de courrier, configurations et faiblesses exploitables.
• Durcissement Linux : mise en œuvre de bonnes pratiques pour réduire la surface d’attaque.
• Gestion des vulnérabilités et des patchs : processus pour identifier, prioriser et déployer les mises à jour de sécurité.
• Supervision et réponse : solutions de monitoring et accompagnement en cas d’incident.
• Conseil en cybersécurité : stratégie adaptée à votre contexte et au paysage des menaces.

Conclusion

Dead.Letter est un rappel brutal : aucun logiciel largement déployé n’est « immunisé » contre le risque. La gestion proactive de la sécurité, les mises à jour régulières et une défense en profondeur restent indispensables pour protéger vos actifs numériques. Ne sous-estimez pas l’impact d’un serveur de messagerie compromis : agissez vite pour sécuriser votre infrastructure et vos données.