chg: do not log to logfile
[exim-website.git] / templates / static / doc / security / xx
1 CVE ID:     CVE-2021-38371
2 Date:       2021-08-10
3 Version(s): up to and including 4.94.2
4 Reporter:   Damian Poddebniak, Fabian Ising, Hanno Böck, and Sebastian Schinzel
5 Reference:  https://nostarttls.secvuln.info/
6 Issue:      Possible MitM attack on STARTTLS when Exim is *sending* email.
7
8 ** The Exim developers do not consider this issue as a security problem.
9 ** Additionally, we do not have any feedback about a successful attack
10 ** using the scenario described below.
11
12
13 Conditions to be vulnerable
14 ===========================
15
16 Versions up to (and including) 4.94.2 are vulnerable when
17 *sending* emails via a connection encrypted via STARTTLS.
18
19
20 Details
21 =======
22
23 When Exim acting as a mail client wishes to send a message,
24 a Meddler-in-the-Middle (MitM) may respond to the STARTTLS command
25 by also sending a response to the *next* command, which Exim will
26 erroneously treat as a trusted response.
27
28 Source fixed by
29 https://git.exim.org/exim.git/commit/1b9ab35f323121aabf029f0496c7227818efad14
30 commit 1b9ab35f323121aabf029f0496c7227818efad14
31 Author: Jeremy Harris
32 Date:   Thu Jul 30 20:16:01 2020 +0100
33
34 Mitigation
35 ==========
36
37 There is - beside updating the server - no known mitigation.
38
39 Fix
40 ===
41
42 Download and build the fixed version 4.95 or a later version
43 (4.96 was released in June 2022).