邮件传输代理（mail transfer agent，MTA）平台软件供应商Exim上周发布软件更新Exim 4.98版，修补一个可让攻击者发送带有恶意附件的信件给用户的重大漏洞。

MTA又称消息传输代理（Message Transfer Agent）或邮件中继（Mail Relay），其角色是在邮件服务器之间传输邮件和图片、多媒体或文本附件，并提供过滤机制确保邮件接收端用户的安全。Exim MTA在Unix平台上广泛使用。

最新修补的漏洞为CVE-2024-39929，是由资安业者Censys发现并通报。业者描述，该漏洞出在RFC 2231标头解析（header parsing）组件，可让远程攻击者绕过Exim产品的文件文件扩展名过滤防护机制，而寄送包含运行档的附件给终端用户。若用户下载或运行了恶意文件，可造成系统被骇。

本项漏洞CVSS 3.1的风险值达到9.1，影响Exim包含4.97.1在内及之前版本。Censys估计，截自7月10日，有156万台对外连网的Exim服务器运行4.97.1以前版本。而且资安业者也发现有概念验证（PoC）程序，不过尚未侦测到恶意滥用情形。

Exim发布的4.98版除了修补CVE-2024-39929，也包含之前发布4.97.1版的CVE-2023-51766漏洞修补程序。后者为一SMTP走私（SMTP smuggling）漏洞，影响部分pipelining/chunking配置，可让攻击者注入假冒邮件来源（Mail From）位址的邮件，绕过寄件者原则架构（SPF）防护机制。本漏洞风险值为5.3。