chmod +x check_cve_2026_45185.sh
./check_cve_2026_45185.sh

CVE-2026-45185 (Dead.Letter) — Exim 취약점 평가
============================================================

[CHECK] Exim 설치 확인 중...
[WARN]  Exim 바이너리 발견: /usr/sbin/exim4
[CHECK] Exim 버전 확인 중...
        감지된 버전: 4.99.1
[FAIL]  Exim 4.99.1이 취약 범위 (4.97 – 4.99.2)에 포함됩니다.
[CHECK] TLS 라이브러리 연결 확인 중 (GnuTLS vs OpenSSL)...
[FAIL]  Exim이 GnuTLS에 연결되어 있습니다 — 이 빌드는 영향을 받습니다.
[CHECK] CHUNKING (BDAT) 광고 구성 확인 중...
        구성 파일: /etc/exim4/exim4.conf
[WARN]  chunking_advertise_hosts가 비활성화되지 않았습니다 — BDAT가 활성화됨 (기본값은 모든 호스트에 광고).
        팁: 메인 구성에 'chunking_advertise_hosts =' (빈 값)를 추가하여 해결 방법으로 BDAT를 비활성화하세요.
[CHECK] 시스템 수준 익스플로잇 완화 조치 확인 중 (정보 제공)...
[PASS]  ASLR: 전체 무작위화 (randomize_va_space=2)
        glibc 버전: 2.35 (2.32+는 더 강력한 힙 메타데이터 검사)
[WARN]  systemd: MemoryDenyWriteExecute가 설정되지 않음 — 유닛에 추가 권장
[WARN]  systemd: NoNewPrivileges가 설정되지 않음

------------------------------------------------------------
판정
------------------------------------------------------------
취약함 — CVE-2026-45185
  이유: Exim 버전 4.99.1이 취약 범위 4.97–4.99.2에 포함됨

권장 조치:
  1. Exim을 4.99.3 이상으로 업그레이드 (기본 수정)
  2. 해결 방법으로 exim 구성에 'chunking_advertise_hosts =' (빈 값) 설정
  3. systemd 유닛에 MemoryDenyWriteExecute=yes 및 NoNewPrivileges=yes 추가
  4. ASLR을 2로 설정 확인: echo 2 > /proc/sys/kernel/randomize_va_space
------------------------------------------------------------

{
  "cve": "CVE-2026-45185",
  "alias": "Dead.Letter",
  "host": "mailserver-01",
  "timestamp": "2026-05-12T17:00:00Z",
  "verdict": "vulnerable",
  "reason": "Exim version 4.99.1 is in vulnerable range 4.97–4.99.2",
  "exit_code": 1,
  "findings": {
    "exim_binary": "/usr/sbin/exim4",
    "exim_version": "4.99.1",
    "exim_version_vulnerable": "true",
    "tls_library": "gnutls",
    "tls_library_detected": "gnutls",
    "exim_config": "/etc/exim4/exim4.conf",
    "chunking_advertised": "true",
    "aslr_level": "2",
    "glibc_version": "2.35"
  },
  "mitigations": [
    "aslr=full"
  ]
}

- name: CVE-2026-45185 확인
  run: |
    chmod +x check_cve_2026_45185.sh
    ./check_cve_2026_45185.sh --json | tee vuln-report.json
    exit $(jq '.exit_code' vuln-report.json)

- name: 취약점 보고서 업로드
  if: always()
  uses: actions/upload-artifact@v4
  with:
    name: cve-2026-45185-report
    path: vuln-report.json

check-exim-vuln:
  stage: security
  script:
    - chmod +x check_cve_2026_45185.sh
    - ./check_cve_2026_45185.sh --json > vuln-report.json
  artifacts:
    when: always
    paths:
      - vuln-report.json
  allow_failure: false

- name: CVE-2026-45185 확인 실행
  script: check_cve_2026_45185.sh --json
  register: vuln_check
  failed_when: vuln_check.rc == 1
  changed_when: false

- name: 취약점 보고서 표시
  debug:
    msg: "{{ vuln_check.stdout | from_json }}"

# 판정만 가져오기
./check_cve_2026_45185.sh --json | jq -r '.verdict'

# 특정 완화 조치가 발견되었는지 확인
./check_cve_2026_45185.sh --json | jq '.mitigations | contains(["aslr=full"])'

# 여러 호스트에서 실행하고 결과 수집
for host in mail1 mail2 mail3; do
  ssh "$host" 'bash -s' < check_cve_2026_45185.sh --json
done | jq -s '.'

# Debian / Ubuntu
apt-get update && apt-get install --only-upgrade exim4

# RHEL / CentOS / Fedora
dnf upgrade exim

# 소스에서
# https://ftp.exim.org/pub/exim/exim4/ 에서 4.99.3 다운로드
# 기존 Local/Makefile 설정으로 재빌드

exim -bV | head -1
# 예상: Exim version 4.99.3 ...

chunking_advertise_hosts =

# Debian / Ubuntu
systemctl restart exim4

# 기타 systemd 시스템
systemctl restart exim

# 연결하고 EHLO 응답 확인 — CHUNKING이 나타나지 않아야 함
echo QUIT | openssl s_client -connect localhost:25 -starttls smtp 2>/dev/null \
  | grep -i chunking
# 출력 없음 = CHUNKING 비활성화됨

# /etc/systemd/system/exim4.service.d/hardening.conf
[Service]
NoNewPrivileges=yes
MemoryDenyWriteExecute=yes
ProtectSystem=strict
PrivateTmp=yes
RestrictAddressFamilies=AF_INET AF_INET6
SystemCallFilter=@system-service

systemctl daemon-reload && systemctl restart exim4