chmod +x check_cve_2026_45185.sh
./check_cve_2026_45185.sh

CVE-2026-45185 (Dead.Letter) — Exim脆弱性評価
============================================================

[CHECK] Eximインストールを確認中...
[WARN]  Eximバイナリが見つかりました: /usr/sbin/exim4
[CHECK] Eximバージョンを確認中...
        検出されたバージョン: 4.99.1
[FAIL]  Exim 4.99.1 は脆弱な範囲（4.97 – 4.99.2）に含まれます。
[CHECK] TLSライブラリのリンクを確認中（GnuTLS 対 OpenSSL）...
[FAIL]  EximはGnuTLSにリンクされています — このビルドは影響を受けます。
[CHECK] CHUNKING (BDAT) アドバタイズ設定を確認中...
        設定ファイル: /etc/exim4/exim4.conf
[WARN]  chunking_advertise_hosts が無効になっていません — BDATがアクティブです（デフォルトですべてのホストにアドバタイズ）。
        ヒント: 回避策として、メイン設定に 'chunking_advertise_hosts ='（空の値）を追加してBDATを無効にしてください。
[CHECK] システムレベルのエクスプロイト緩和策を確認中（情報提供）...
[PASS]  ASLR: 完全なランダム化 (randomize_va_space=2)
        glibcバージョン: 2.35 (2.32+ はより強力なヒープメタデータチェックがあります)
[WARN]  systemd: MemoryDenyWriteExecute が設定されていません — ユニットに追加することを推奨
[WARN]  systemd: NoNewPrivileges が設定されていません

------------------------------------------------------------
判定
------------------------------------------------------------
脆弱 — CVE-2026-45185
  理由: Eximバージョン4.99.1が脆弱範囲4.97–4.99.2に含まれます

推奨アクション:
  1. Eximを4.99.3以降にアップグレード（主要な修正）
  2. 回避策として、Exim設定に 'chunking_advertise_hosts ='（空）を設定
  3. systemdユニットに MemoryDenyWriteExecute=yes と NoNewPrivileges=yes を追加
  4. ASLRが2に設定されていることを確認: echo 2 > /proc/sys/kernel/randomize_va_space
------------------------------------------------------------

{
  "cve": "CVE-2026-45185",
  "alias": "Dead.Letter",
  "host": "mailserver-01",
  "timestamp": "2026-05-12T17:00:00Z",
  "verdict": "vulnerable",
  "reason": "Exim version 4.99.1 is in vulnerable range 4.97–4.99.2",
  "exit_code": 1,
  "findings": {
    "exim_binary": "/usr/sbin/exim4",
    "exim_version": "4.99.1",
    "exim_version_vulnerable": "true",
    "tls_library": "gnutls",
    "tls_library_detected": "gnutls",
    "exim_config": "/etc/exim4/exim4.conf",
    "chunking_advertised": "true",
    "aslr_level": "2",
    "glibc_version": "2.35"
  },
  "mitigations": [
    "aslr=full"
  ]
}

- name: CVE-2026-45185をチェック
  run: |
    chmod +x check_cve_2026_45185.sh
    ./check_cve_2026_45185.sh --json | tee vuln-report.json
    exit $(jq '.exit_code' vuln-report.json)

- name: 脆弱性レポートをアップロード
  if: always()
  uses: actions/upload-artifact@v4
  with:
    name: cve-2026-45185-report
    path: vuln-report.json

check-exim-vuln:
  stage: security
  script:
    - chmod +x check_cve_2026_45185.sh
    - ./check_cve_2026_45185.sh --json > vuln-report.json
  artifacts:
    when: always
    paths:
      - vuln-report.json
  allow_failure: false

- name: CVE-2026-45185チェックを実行
  script: check_cve_2026_45185.sh --json
  register: vuln_check
  failed_when: vuln_check.rc == 1
  changed_when: false

- name: 脆弱性レポートを表示
  debug:
    msg: "{{ vuln_check.stdout | from_json }}"

# 判定のみ取得
./check_cve_2026_45185.sh --json | jq -r '.verdict'

# 特定の緩和策が見つかったか確認
./check_cve_2026_45185.sh --json | jq '.mitigations | contains(["aslr=full"])'

# 複数のホストで実行し結果を収集
for host in mail1 mail2 mail3; do
  ssh "$host" 'bash -s' < check_cve_2026_45185.sh --json
done | jq -s '.'

# Debian / Ubuntu
apt-get update && apt-get install --only-upgrade exim4

# RHEL / CentOS / Fedora
dnf upgrade exim

# ソースから
# https://ftp.exim.org/pub/exim/exim4/ から4.99.3をダウンロード
# 既存のLocal/Makefile設定で再ビルド

exim -bV | head -1
# 期待される出力: Exim version 4.99.3 ...

chunking_advertise_hosts =

# Debian / Ubuntu
systemctl restart exim4

# その他のsystemdシステム
systemctl restart exim

# 接続してEHLO応答を確認 — CHUNKINGが表示されてはいけない
echo QUIT | openssl s_client -connect localhost:25 -starttls smtp 2>/dev/null \
  | grep -i chunking
# 出力がない = CHUNKINGが無効

# /etc/systemd/system/exim4.service.d/hardening.conf
[Service]
NoNewPrivileges=yes
MemoryDenyWriteExecute=yes
ProtectSystem=strict
PrivateTmp=yes
RestrictAddressFamilies=AF_INET AF_INET6
SystemCallFilter=@system-service

systemctl daemon-reload && systemctl restart exim4