GUIA DEFINITIVO: Como proteger seu servidor Exim contra vazamento de memória (CVE-2026-48840)

 

Vulnerabilidade CVE-2026-48840 no Exim4 pode vazar memória do servidor e derrubar a proteção ASLR. Aprenda a verificar se você está vulnerável com comandos reais para Debian, aplique o script de correção automatizado e implemente mitigações alternativas com iptables. Guia completo para administradores de servidores Linux que querem proteger seus MTAs de forma definitiva.

Entendendo a vulnerabilidade (sem perder o foco no que realmente importa)

Em meados de 2026, pesquisadores de segurança identificaram uma falha crítica no Exim, um dos Mail Transfer Agents (MTAs) mais utilizados no mundo. 

A vulnerabilidade, catalogada como CVE-2026-48840, afeta configurações específicas onde o servidor está atrás de balanceadores de carga ou proxies que utilizam o PROXY protocol.

A falha reside na função proxy_protocol(), que processa os cabeçalhos PROXYv2 recebidos de proxies confiáveis. 

Quando um cliente envia um frame PROXYv2 com família de endereço TCPv6 e comprimento igual a zero, o Exim falha ao verificar o limite mínimo de tamanho e acaba copiando 16 bytes não inicializados da pilha de memória para uma variável temporária. 

Esses bytes são então formatados como um endereço IPv6 e exibidos no banner SMTP de saudação.

Contexto histórico: Esta vulnerabilidade foi descoberta por Warisjeet Singh e divulgada publicamente em maio de 2026, com correções disponibilizadas para as principais distribuições Linux logo em seguida.

O problema afeta versões do Exim desde a 4.88 (2017) até a 4.99.3, e está presente por padrão em compilações de Debian, Ubuntu e RHEL / Fedora, onde a flag SUPPORT_PROXY é habilitada automaticamente.

Impacto prático para o seu servidor

Vazamento de ponteiros de memória vivos – os bytes vazados frequentemente contêm endereços de memória virtuais válidos.

Derrota do ASLR (Address Space Layout Randomization) – um atacante pode coletar esses vazamentos em múltiplas reinicializações do daemon para mapear o layout de memória do sistema, facilitando ataques subsequentes.

Acesso pré-autenticação – a falha pode ser explorada antes mesmo de qualquer autenticação SMTP, exigindo apenas que o IP de origem do atacante esteja na lista hosts_proxy ou que consiga rotear através de um intermediário confiável.

Como verificar se você está vulnerável (comandos reais para Debian e derivados)

Passo 1: Verifique a versão do Exim instalada

bash

exim4 --version | head -1

Se a versão for 4.88 ou superior, mas menor que 4.99.4, seu sistema está tecnicamente na faixa afetada.

Passo 2: Verifique se o SUPPORT_PROXY está habilitado

bash

exim4 -bP | grep -i support_proxy

Ou verifique se o binário foi compilado com a flag:

bash

ldd /usr/sbin/exim4 | grep -q proxy || echo "SUPPORT_PROXY não detectado"

Passo 3: Verifique se hosts_proxy está configurado

bash

grep -E "^hosts_proxy|^host_proxy" /etc/exim4/exim4.conf.template /etc/exim4/conf.d/main/000_localconfig 2>/dev/null

Você está vulnerável SE e SOMENTE SE:

Versão do Exim entre 4.88 e 4.99.3;

SUPPORT_PROXY habilitado na compilação;

hosts_proxy ou host_proxy definido como um valor não vazio no arquivo de configuração.

Passo 4: Teste rápido (opcional – use com cautela)

bash

# Testa se o banner SMTP exibe endereços IPv6 suspeitos
telnet localhost 25 2>&1 | grep -E "\[[a-f0-9:]{5,}\]" || echo "Nada suspeito detectado"

---

Script de automação para aplicar a correção (Debian/Ubuntu)

Salve o script abaixo como fix-exim4-cve-2026-48840.sh e execute com privilégios de root:

bash

#!/bin/bash
# fix-exim4-cve-2026-48840.sh
# Script para corrigir CVE-2026-48840 no Exim4 (Debian/Ubuntu)

set -e

echo "=== [1/5] Identificando distribuição ==="
if [ -f /etc/debian_version ]; then
    echo "Sistema Debian/Ubuntu detectado."
else
    echo "Este script foi projetado para Debian/Ubuntu."
    exit 1
fi

echo "=== [2/5] Verificando versão atual do Exim4 ==="
CURRENT_VER=$(exim4 --version | head -1 | grep -oE '[0-9]+\.[0-9]+(\.[0-9]+)?' | head -1)
echo "Versão atual: $CURRENT_VER"

echo "=== [3/5] Verificando se hosts_proxy está ativo ==="
HOSTS_PROXY=$(grep -rh "^hosts_proxy" /etc/exim4/ 2>/dev/null | head -1)
if [ -n "$HOSTS_PROXY" ]; then
    echo "ATENÇÃO: hosts_proxy está configurado. Você está potencialmente vulnerável."
else
    echo "hosts_proxy não encontrado. Você provavelmente NÃO está vulnerável."
fi

echo "=== [4/5] Atualizando pacotes do Exim4 ==="
sudo apt update
sudo apt upgrade -y exim4 exim4-base exim4-config exim4-daemon-heavy exim4-daemon-light exim4-dev eximon4

echo "=== [5/5] Verificando nova versão ==="
NEW_VER=$(exim4 --version | head -1 | grep -oE '[0-9]+\.[0-9]+(\.[0-9]+)?' | head -1)
echo "Nova versão: $NEW_VER"

echo "=== [6/6] Reiniciando serviço ==="
sudo systemctl restart exim4
sudo systemctl status exim4 --no-pager

echo "✅ Correção aplicada! Recomenda-se reiniciar o servidor em breve para limpeza completa da memória."

Execute com:

bash

chmod +x fix-exim4-cve-2026-48840.sh
sudo ./fix-exim4-cve-2026-48840.sh

---

📚 Leitura recomendada para aprofundar sua segurança

"Segurança em servidores Linux: Ataque e Defesa" – de Chris Binnie.

Com mais de 70% dos servidores da internet rodando Linux, a segurança dessas máquinas é uma prioridade máxima. 

Este livro é o complemento ideal para o guia acima, pois ensina a fundo como antecipar os movimentos dos invasores e bloqueá-los de forma proativa, indo muito além de uma simples correção de vulnerabilidade. 

Você aprenderá a usar as próprias ferramentas dos hackers (como Nmap e netcat) para fortalecer suas defesas e a tornar seu servidor "invisível" sem afetar os serviços em produção.

Segurança em servidores Linux: Ataque e Defesa: -> https://amzn.to/3QjljQl

Com este livro, você não apenas resolve a CVE atual, mas adquire uma mentalidade e um conjunto de técnicas de hardening (blindagem) que o prepararão para enfrentar qualquer ameaça futura.

Eu ganho uma comissão quando você faz uma compra.

Mitigação alternativa caso não possa atualizar agora

Se você não pode atualizar imediatamente (por compatibilidade ou dependências), estas mitigações funcionam:

Opção 1: Desabilitar completamente o PROXY protocol

Edite seu arquivo de configuração principal (ex.: /etc/exim4/exim4.conf.template ou /etc/exim4/conf.d/main/000_localconfig) e comente ou remova a diretiva hosts_proxy:

bash

# hosts_proxy = 192.168.1.0/24   (comente esta linha)

Depois, recarregue a configuração:

bash

sudo systemctl reload exim4

Opção 2: Restringir hosts_proxy a IPs absolutamente necessários

Se você realmente precisa do PROXY protocol, reduza ao máximo a lista de IPs confiáveis. Em vez de:

text

hosts_proxy = 10.0.0.0/8

Use apenas os IPs específicos dos seus balanceadores:

text

hosts_proxy = 10.5.1.10 : 10.5.1.11

Opção 3: Bloquear acessos suspeitos com iptables

Como uma camada adicional de segurança, restrinja a porta 25 apenas aos IPs dos seus proxies:

bash

# Libera apenas para proxies específicos
sudo iptables -A INPUT -p tcp --dport 25 -s 10.5.1.10 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 25 -s 10.5.1.11 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 25 -j DROP

Para persistir as regras (Debian/Ubuntu):

bash

sudo apt install iptables-persistent
sudo netfilter-persistent save

Opção 4: Usar um proxy reverso confiável na frente do Exim

Se você utiliza HAProxy ou Nginx como proxy, configure-o para validar e sanitizar os frames PROXYv2 antes de encaminhá-los ao Exim. Isso adiciona uma camada extra de validação.

Conclusão

A vulnerabilidade CVE-2026-48840 serve como um lembrete importante sobre a complexidade da segurança em sistemas legacy. 

Embora afete apenas configurações específicas com PROXY protocol ativo, seu potencial de comprometimento do ASLR a torna um vetor perigoso em ataques em múltiplas etapas.

Sua ação imediata deve ser:

 1. Verificar se você está vulnerável usando os comandos acima;

 2. Aplicar a correção via atualização dos pacotes (prioridade máxima);

 3. Se não puder atualizar, implementar as mitigações alternativas imediatamente;

 4. Adquirir conhecimento contínuo através de materiais especializados para estar preparado para as próximas falhas.

A segurança de servidores de e-mail é uma corrida constante – não uma linha de chegada. A correção de hoje é apenas mais um passo na direção certa.