Een configuratiefout in mogelijk meer dan honderdduizend mailservers zorgt ervoor dat kwaadwillenden door alleen het sturen van een e-mail de server kunnen overnemen. Het gaat om mailservers die Exim gebruiken, een mail transfer agent (MTA) die mail van andere servers verstuurt en ontvangt, en Dovecot, een open source IMAP en POP3 server voor het afleveren van e-mail aan gebruikers (LDA).

Het Exim-configuratiebestand dat Dovecot aanbiedt om de verbinding tussen de MTA en Local Delivery Agent (LDA) te maken bevat een verkeerde configuratie-optie, waardoor een aanvaller willekeurige commando's op de mailserver kan uitvoeren door alleen een e-mail te versturen.

Beveiligingsbedrijf Immunity waarschuwt voor de impact van de kwetsbaarheid, die door het bedrijf RedTeam Pentesting werd ontdekt. De aanval is namelijk zeer betrouwbaar, aangezien het om command injection gaat. Daarnaast wordt de kwetsbaarheid van het ene naar het ander product via de admin veroorzaakt en als laatste is er de aanvalsvector via e-mail.

Kwetsbaar
De gebruikte configuratie wordt officieel door Dovecot aanbevolen. Immunity onderzocht hoeveel mailservers de combinatie van Exim en Dovecot gebruiken en stelt dat mogelijk meer dan honderdduizend mailservers risico lopen om gehackt te worden.

Systeembeheerders krijgen het advies om de use_shell optie uit hun transportconfiguratie te halen. Dit is inmiddels ook op de Dovecot wiki met voorbeeldconfiguraties aangepast.