CVE-2025-26794
— 神龙十问 AI 深度分析摘要
CVSS 7.5 · High
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Exim 邮件服务器在使用 SQLite 作为 DBM 存储时，存在 **SQL 注入漏洞**。
💥 **后果**：攻击者可构造恶意 SQLite 查询，导致 **高可用性破坏**（CVSS A:H），可能引发服务中断或数据篡改。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-89 (SQL Injection)。
📍 **缺陷点**：当使用 **SQLite 提示** 和 **ETRN 序列化** 时，SQL 参数 **未正确清理/转义**，导致远程用户可注入自定义查询。
Q3影响谁？（版本/组件）
📦 **组件**：Exim (开源消息传送代理 MTA)。
🏷️ **版本**：**Exim 4.98.1 之前** 的所有版本。
⚙️ **关键配置**：必须使用 **SQLite** 作为 DBM 存储后端。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
1️⃣ **远程 SQL 注入**：无需认证即可利用。
2️⃣ **数据提取**：通过时间盲注等技术提取数据。
3️⃣ **潜在 RCE**：有研究者尝试将其升级为 **远程代码执行 (RCE)**。
4️⃣ **服务拒绝**：高可用性评分，可能导致邮件服务瘫痪。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：**低**。
🌐 **网络**：AV:N (网络攻击)。
🔑 **认证**：PR:N (无需权限)。
👀 **交互**：UI:N (无需用户交互)。
⚠️ **前置条件**：服务器需配置为使用 **SQLite DBM** 并处理 **ETRN** 命令。
Q6有现成Exp吗？（PoC/在野利用）
💻 **有现成 Exp**：
✅ **PoC 已公开**：GitHub 上存在多个利用工具（如 `CVE-2025-26794-exploit`）。
🔧 **功能**：自动化时间盲注数据提取。
⚠️ **注意**：仅限授权测试，但在野利用风险极高。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1️⃣ **版本检查**：确认 Exim 版本是否 < 4.98.1。
2️⃣ **配置检查**：查看 `dbdriver` 是否设置为 `sqlite`。
3️⃣ **日志监控**：监控 ETRN 命令相关的异常 SQL 错误日志。
4️⃣ **扫描**：使用支持该 CVE 的漏洞扫描器进行检测。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：
📅 **发布时间**：2025-02-21。
📄 **文档**：Exim 官方发布了安全公告 (CVE-2025-26794.txt)。
🔧 **措施**：建议升级至 **Exim 4.98.1 或更高版本** 以修复此问题。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1️⃣ **禁用 SQLite**：将 DBM 存储切换为其他类型（如 `dbmexpand` 或其他非 SQLite 后端）。
2️⃣ **限制 ETRN**：在防火墙或 Exim 配置中严格限制 ETRN 命令的来源 IP。
3️⃣ **输入过滤**：虽然根本原因是后端，但可尝试在应用层对输入进行更严格的过滤（效果有限）。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。
📊 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H。
💡 **建议**：由于无需认证且利用门槛低，加上已有公开 Exp，建议 **立即升级** 或实施临时缓解措施，防止邮件服务被破坏。