Falha crítica de segurança no Exim: como se proteger agora mesmo (guia definitivo)

 

Vulnerabilidade crítica CVE-2023-51766 no Exim permite contrabando SMTP e forjamento de e-mails. Aprenda a verificar, corrigir com script automático e aplicar mitigação temporária no Ubuntu. Proteja seu servidor agora mesmo com este guia prático definitivo.

O que você precisa saber sobre essa vulnerabilidade (e por que ela ainda é relevante)

Em dezembro de 2023, foi descoberta uma vulnerabilidade crítica no Exim, um dos servidores de e-mail mais usados no mundo — presente em milhões de servidores Linux. 

Identificada como CVE-2023-51766, ela permite o chamado "SMTP Smuggling" (contrabando SMTP): um invasor remoto pode burlar o Exim para aceitar uma segunda mensagem de e-mail escondida dentro do corpo da primeira, forjando o remetente e driblando proteções como SPF.

O problema é que essa falha afeta todas as versões do Exim anteriores à 4.97.1. 

A boa notícia? A correção já existe e é simples. Mas, se você não aplicar, seu servidor pode estar servindo como arma para ataques de phishing e spam até hoje.

Como verificar se seu Ubuntu está vulnerável (comandos reais)

Acesse o terminal do servidor e execute os comandos abaixo.

1.  Verifique a versão do Exim instalada:

bash

exim4 --version

ou (se o caminho não estiver no PATH)

bash

dpkg -l | grep exim4

Versões vulneráveis: todas anteriores a 4.97-3 / 4.94.2-7+deb11u2 / 4.96-15+deb12u4.

2. Confirme se os recursos PIPELINING e CHUNKING estão ativos – condição necessária para exploração:

1. bash

   grep -E "pipelining|chunking" /etc/exim4/exim4.conf.template

Nota: Vulnerabilidades adicionais identificadas em 2026 (CVE-2026-40685, CVE-2026-40686, CVE-2026-40687, CVE-2026-45185, CVE-2026-48840) afetam outras versões do Ubuntu e também são corrigidas com a atualização completa.

Script de automação para aplicar a correção definitiva

Copie e cole o bloco abaixo como um único comando no terminal do servidor Ubuntu (funciona nas versões 20.04 LTS, 18.04 LTS, 16.04 LTS e 14.04 LTS):

bash

sudo bash <<'EOF'
set -e
echo "=== [1/4] Atualizando lista de pacotes ==="
apt update -qq

echo "=== [2/4] Verificando versão atual do Exim ==="
dpkg -l | grep exim4

echo "=== [3/4] Aplicando correções de segurança ==="
apt upgrade -y exim4*

echo "=== [4/4] Reiniciando serviço e validando ==="
systemctl restart exim4
systemctl status exim4 --no-pager

echo "=== Nova versão instalada ==="
exim4 --version
EOF

Atenção: Se você estiver usando Ubuntu 20.04, 18.04, 16.04 ou 14.04 e não estiver com o Ubuntu Pro ativado, a correção pode não estar disponível nos repositórios padrão. Nesse caso, não pule para a sessão de mitigação alternativa.

📚 Leitura recomendada para aprofundar sua segurança

"Segurança em servidores Linux: Ataque e Defesa" – de Chris Binnie.

Com mais de 70% dos servidores da internet rodando Linux, a segurança dessas máquinas é uma prioridade máxima. 

Este livro é o complemento ideal para o guia acima, pois ensina a fundo como antecipar os movimentos dos invasores e bloqueá-los de forma proativa, indo muito além de uma simples correção de vulnerabilidade. 

Você aprenderá a usar as próprias ferramentas dos hackers (como Nmap e netcat) para fortalecer suas defesas e a tornar seu servidor "invisível" sem afetar os serviços em produção.

Segurança em servidores Linux: Ataque e Defesa: -> https://amzn.to/3QjljQl

Com este livro, você não apenas resolve a CVE atual, mas adquire uma mentalidade e um conjunto de técnicas de hardening (blindagem) que o prepararão para enfrentar qualquer ameaça futura.

Eu ganho uma comissão quando você faz uma compra.

Mitigação alternativa (se você NÃO pode atualizar agora)

Se a atualização não for possível imediatamente (ex: você está com Ubuntu 14.04 sem Ubuntu Pro), desative PIPELINING ou CHUNKING no Exim como barreira temporária.

1. Edite o arquivo de configuração:

1. bash

   sudo nano /etc/exim4/exim4.conf.template

2. Adicione ou modifique as seguintes linhas:

1. text

   chunking_advertise_hosts =
   pipelining_advertise_hosts =

3. Recompile a configuração e reinicie:

1. bash

   sudo update-exim4.conf
   sudo systemctl restart exim4
   
   

Mitigação via firewall (iptables): como fallback extremo, restrinja o acesso ao Exim apenas para IPs confiáveis.

bash

sudo iptables -A INPUT -p tcp --dport 25 -j DROP
sudo iptables -A INPUT -p tcp --dport 25 -s SEU_IP_CONFIAVEL -j ACCEPT

⚠️ Essas medidas reduzem o risco, mas não eliminam a vulnerabilidade. Atualize assim que possível.

Conclusão

A falha CVE-2023-51766 continua tão perigosa hoje quanto no dia em que foi descoberta, porque muitos administradores ainda não aplicaram a correção. Um servidor de e-mail comprometido pode ser usado para enviar spam, aplicar golpes de phishing e até mesmo servir como ponto de entrada para ataques maiores.

A boa notícia é que o remédio é simples: atualize o Exim agora mesmo usando o script automatizado. Se não puder, adote as mitigações alternativas imediatamente. Sua segurança digital depende dessa ação hoje.