Patrice Fournier a découvert un bogue dans toutes les versions d'Exim ultérieures à Exim 3.34 et Exim 3.952.
Le responsable d'Exim, Philip Hazel, écrit à propos cette publication : « Le problème existe uniquement dans le cas où d'une configuration runtime, qui dirige ou route une adresse à un moyen de transport sans vérifier la partie locale de l'adresse dans tous les chemins. Ceci ne s'applique pas, par exemple, pour les connexions lancées depuis un fichier de forward ou d'alias, car la partie locale est vérifiée afin de s'assurer qu'il s'agisse bien de l'alias d'un utilisateur local. L'effet de ce bogue est qu'au lieu d'obéir à la bonne commande de connexion, un Exim biaisé exécute la commande encodée dans la partie locale de l'adresse. »
Ce problème a été résolu dans la version 3.12-10.2 pour la distribution stable Debian GNU/Linux 2.2 et 3.33-1.1 pour les distributions testing et unstable. Nous vous recommandons de mettre à jour votre paquet exim.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.