{"data":{"case":{"actions":{"de":["Prüfe die Exim-Version auf deinen Mailservern mit `exim -bV`: Eine Version von **4.87 bis 4.91** ohne den Patch deiner Distribution vom Juni 2019 ist für diese Sicherheitslücke offen.","Aktualisiere Exim über die Sicherheitsupdates deiner Distribution oder auf die aktuelle Version **4.100.1** (Stand: 1. November 2026). Das Exim-Projekt betrachtet alle älteren Versionen als veraltet.","Wenn eine verwundbare Version aus dem Internet erreichbar war, such nach Spuren eines Angriffs: unbekannte Cronjobs, unbekannte SSH-Schlüssel für root, neue Benutzer mit Administratorrechten und geänderte Firewall-Regeln.","Durchsuche deine Mail-Logs nach Absender- oder Empfängeradressen, die `${run{` enthalten: Das sind Versuche, die Sicherheitslücke auszunutzen."],"en":["Check the Exim version on your mail servers with `exim -bV`: a version from **4.87 to 4.91** without your distribution's patch of June 2019 is open to this flaw.","Update Exim through your distribution's security updates or to the current release, **4.100.1** (as of November 1, 2026). The Exim project considers all older releases obsolete.","If a vulnerable version was reachable from the internet, look for signs of an attack: unknown cron jobs, unknown SSH keys for root, new users with admin rights and changed firewall rules.","Search your mail logs for sender or recipient addresses that contain `${run{`: they are attempts to exploit the flaw."]},"criteria":{"damage":{"de":"Eine Gesamtsumme des Schadens ist nicht dokumentiert. Die Behörden berichten von Krypto-Minern auf gekaperten Servern, von kanadischen Opfern noch im Mai 2020 und von Angriffen einer Hackergruppe des russischen Militärs, aber ohne Zahlen (NCSC; Canadian Centre for Cyber Security; CISA).","en":"No damage total is documented. The agencies report crypto miners on hijacked servers, Canadian victims as recently as May 2020 and attacks by a Russian military hacking group, without figures (NCSC; Canadian Centre for Cyber Security; CISA).","met":false},"exploitation":{"de":"Ein Wurm verbreitete sich selbstständig: Ein Skript auf gekaperten Servern durchsuchte das Internet nach verwundbaren Exim-Servern und griff sie an (Canadian Centre for Cyber Security, 14. Juni 2019). Microsoft bestätigte den aktiven Wurm am 13. Juni 2019 (Microsoft Security Response Center).","en":"A worm spread on its own: a script on hijacked servers searched the internet for vulnerable Exim servers and attacked them (Canadian Centre for Cyber Security, June 14, 2019). Microsoft confirmed the active worm on June 13, 2019 (Microsoft Security Response Center).","met":true},"reach":{"de":"Eine Shodan-Suche fand einen Tag nach dem Fix mehr als 4,1 Millionen Systeme mit Exim 4.87 bis 4.91, gegenüber 475.591 mit der korrigierten Version 4.92 (Tenable, Anbieterdaten, Juni 2019). Im Oktober 2019 waren allein in Großbritannien noch mehr als 174.000 Exim-Server für diese oder zwei spätere Exim-Lücken offen (NCSC).","en":"A Shodan search found more than 4.1 million systems with Exim 4.87 to 4.91 one day after the fix, against 475,591 with the fixed 4.92 (Tenable, vendor data, June 2019). In October 2019, more than 174,000 Exim servers in the UK alone were still open to this or two later Exim flaws (NCSC).","met":true},"response":{"de":"Behörden in den USA, in Großbritannien und in Kanada warnten. Das NCSC informierte betroffene britische Anbieter. Eine Notfallanweisung oder die höchste Warnstufe ist jedoch nicht dokumentiert (CISA; NCSC; Canadian Centre for Cyber Security).","en":"Agencies in the US, the UK and Canada warned, and the NCSC notified affected UK providers. But no emergency directive or highest warning level is documented (CISA; NCSC; Canadian Centre for Cyber Security).","met":false}},"cves":["CVE-2019-10149"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-78","dates":[{"date":"2016-04-06","de":"Exim 4.87 schaltet den fehlerhaften Code standardmäßig ein","en":"Exim 4.87 switches the flawed code on by default"},{"date":"2019-02-10","de":"Exim 4.92 behebt den Fehler, doch niemand bemerkt, dass er eine Sicherheitslücke war","en":"Exim 4.92 removes the flaw, but nobody notices that it was a security hole"},{"date":"2019-05-27","key":"reported"},{"date":"2019-06-03","de":"Exim warnt vor einem möglichen Angriff aus der Ferne, noch ohne Details","en":"Exim warns of a possible remote exploit, still without details"},{"date":"2019-06-05","key":"disclosed"},{"date":"2019-06-05","key":"patched"},{"date":"2019-06-09","key":"exploited"},{"date":"2019-06-13","de":"Microsoft bestätigt einen aktiven Wurm, der sich über die Sicherheitslücke verbreitet","en":"Microsoft confirms an active worm that spreads through the flaw"},{"date":"2019-08-23","de":"Ein fertiges Metasploit-Modul macht den Angriff leicht","en":"A ready-made Metasploit module makes the attack easy"},{"date":"2020-05-28","de":"Die NSA meldet, dass der russische Militärgeheimdienst die Sicherheitslücke seit mindestens August 2019 ausnutzt","en":"The NSA reports that Russia's military intelligence has exploited the flaw since at least August 2019"},{"date":"2022-01-10","key":"kev"}],"de":{"credit":"Qualys Research Labs","fixed":"Exim 4.92 (10. Februar 2019, unbemerkt); Patch für die Versionen 4.87 bis 4.91 (5. Juni 2019)","product":"Exim, ein Mailserver für Linux- und Unix-Systeme","summary":"Eine Sicherheitslücke im Mailserver Exim ließ Angreifer Befehle als root ausführen, die sie in eine E-Mail-Adresse schrieben. Binnen weniger Tage verbreitete sich ein Wurm über die Lücke."},"disclosed":"2019-06-05","en":{"credit":"Qualys Research Labs","fixed":"Exim 4.92 (February 10, 2019, unnoticed); patch for versions 4.87 to 4.91 (June 5, 2019)","product":"Exim, a mail server for Linux and Unix systems","summary":"A flaw in the Exim mail server let attackers run commands as root by writing them into an email address. Within days, a worm spread through it."},"figures":[{"de":"Millionen Systeme zeigten im Juni 2019 in den Suchergebnissen von Shodan eine verwundbare Exim-Version (mehr als; Daten von Tenable)","en":"million systems showed a vulnerable Exim version in Shodan search results in June 2019 (more than; Tenable data)","value":"4.1"},{"de":"Tage nach der Veröffentlichung warnte Microsoft vor einem aktiven Wurm","en":"days after disclosure, Microsoft warned of an active worm","value":"8"},{"de":"Tage vergingen zwischen dem unbemerkten Fix in Exim 4.92 und der Veröffentlichung der Sicherheitslücke","en":"days passed between the unnoticed fix in Exim 4.92 and the disclosure of the flaw","value":"115"},{"de":"Exim-Server allein in Großbritannien waren im Oktober 2019 noch für diese oder zwei spätere Exim-Lücken offen (mehr als; NCSC)","en":"Exim servers in the UK alone were still open to this or two later Exim flaws in October 2019 (more than; NCSC)","value":"174,000"}],"kev":"2022-01-10","key":"exim","name":"Exim","product":"Exim","sources":[{"de":"Qualys: The Return of the WIZard, der Sicherheitshinweis der Entdecker","title":"Qualys: The Return of the WIZard, the finders' advisory","url":"https://www.qualys.com/2019/06/05/cve-2019-10149/return-wizard-rce-exim.txt"},{"de":"Exim-Projekt: Hinweis und Zeitleiste zu CVE-2019-10149","title":"Exim project: notice and timeline for CVE-2019-10149","url":"https://www.exim.org/static/doc/security/CVE-2019-10149.txt"},{"de":"oss-security: Exim veröffentlicht den Fix vorzeitig, weil Details durchgesickert waren (5. Juni 2019)","title":"oss-security: Exim publishes the fix early because details leaked (June 5, 2019)","url":"https://www.openwall.com/lists/oss-security/2019/06/05/3"},{"de":"Debian-Sicherheitshinweis DSA-4456 (5. Juni 2019)","title":"Debian security advisory DSA-4456 (June 5, 2019)","url":"https://www.debian.org/security/2019/dsa-4456"},{"de":"NVD: CVE-2019-10149","title":"NVD: CVE-2019-10149","url":"https://nvd.nist.gov/vuln/detail/CVE-2019-10149"},{"de":"Tenable: Shodan-Zählung nach Exim-Version und erste Angriffe (Anbieterdaten)","title":"Tenable: Shodan counts by Exim version and first attacks (vendor data)","url":"https://www.tenable.com/blog/cve-2019-10149-critical-remote-command-execution-vulnerability-discovered-in-exim"},{"de":"Microsoft Security Response Center: Ein aktiver Linux-Wurm nutzt Exim aus (13. Juni 2019)","title":"Microsoft Security Response Center: an active Linux worm exploits Exim (June 13, 2019)","url":"https://www.microsoft.com/en-us/msrc/blog/2019/06/prevent-the-impact-of-a-linux-worm-by-updating-exim-cve-2019-10149"},{"de":"Canadian Centre for Cyber Security: Warnung AL19-012 zum Wurm (14. Juni 2019)","title":"Canadian Centre for Cyber Security: alert AL19-012 on the worm (June 14, 2019)","url":"https://www.cyber.gc.ca/en/alerts/active-exploitation-exim-vulnerability-observed-wild"},{"de":"NCSC: Sicherheitshinweis zu Schwachstellen in Exim-Mailservern (4. Oktober 2019)","title":"NCSC: advisory on Exim mail server vulnerabilities (October 4, 2019)","url":"https://www.ncsc.gov.uk/news/exim-mail-server-vulnerabilities-advisory"},{"de":"CISA: NSA-Warnung zur Ausnutzung der Exim-Lücke durch Sandworm (28. Mai 2020)","title":"CISA: NSA advisory on Sandworm exploiting the Exim flaw (May 28, 2020)","url":"https://www.cisa.gov/news-events/alerts/2020/05/28/nsa-releases-advisory-sandworm-actors-exploiting-exim-vulnerability"},{"de":"NCSC: Stellungnahme zur Warnung der NSA (28. Mai 2020)","title":"NCSC: statement supporting the NSA advisory (May 28, 2020)","url":"https://www.ncsc.gov.uk/news/ncsc-supports-sandworm-advisory"},{"de":"Canadian Centre for Cyber Security: Warnung AL20-017 zu anhaltenden Angriffen (3. Juni 2020)","title":"Canadian Centre for Cyber Security: alert AL20-017 on continued attacks (June 3, 2020)","url":"https://www.cyber.gc.ca/en/alerts-advisories/continued-exploitation-exim-vulnerability"},{"de":"Rapid7: Mailserver im Internet, 2020 (Anbieterdaten)","title":"Rapid7: internet exposure of mail servers, 2020 (vendor data)","url":"https://www.rapid7.com/blog/post/2020/10/02/nicer-protocol-deep-dive-internet-exposure-of-smtp/"},{"de":"Exim-Projekt: die aktuelle Version","title":"Exim project: the current version","url":"https://www.exim.org/"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2019}},"description":"2019 ließ eine Lücke im Mailserver Exim Angreifer Befehle als root ausführen, versteckt in einer E-Mail-Adresse. Wie das funktionierte, der Wurm, der Fix.","language":"de","latest_measurement":"2026-11-01","method":"latency-v3","method_page":"https://crackthe.net/de/daten/methode/","source":"https://crackthe.net/","text":"Am 5. Juni 2019 veröffentlichte das Exim-Projekt einen Fix für eine Sicherheitslücke. Über sie konnten Angreifer auf einem Mailserver beliebige Befehle als root ausführen, also mit den Rechten des Administratorkontos. Dazu mussten sie den Befehl nur in einer E-Mail-Adresse verstecken. Exim ist ein Mailserver: das Programm auf einem Linux- oder Unix-Rechner, das E-Mails aus dem Internet annimmt und zustellt. Das Sicherheitsunternehmen Qualys fand die Lücke und nannte sie „The Return of the WIZard“. Acht Tage später warnte Microsoft vor einem Wurm, der sich über die Lücke von Server zu Server verbreitete. Ein Wurm ist ein Programm, das sich selbst weiterverbreitet.\nSo funktionierte der Angriff Exim hat für seine Einstellungen eine kleine eingebaute Sprache. Text in der Form ${...} füllt Exim erst aus, während es eine E-Mail bearbeitet, ähnlich wie bei einem Serienbrief. Einer dieser Platzhalter, ${run{...}}, startet ein Programm.\nSeit Version 4.87, erschienen am 6. April 2016, schickte Exim die Empfängeradresse durch diese Funktion, wenn die Zustellung auf bestimmte Weise scheiterte. Ein Angreifer musste nur einen Befehl in die Adresse schreiben, etwa ${run{...}}@localhost, und dafür sorgen, dass die Zustellung scheiterte. Ein Weg war, mehr als 30 „Received“-Zeilen einzufügen, also die Stempel, die jeder Mailserver unterwegs hinzufügt. Dann nahm Exim an, die E-Mail hänge in einer Schleife fest. Den Befehl führte es als root aus, denn standardmäßig behält es diese Rechte, während es E-Mails zustellt. Einen Trick mit dem Arbeitsspeicher brauchte es nicht.\nAuf dem Server selbst konnte jeder Benutzer das sofort tun. Aus dem Internet war es schwieriger, weil Exim in den Standardeinstellungen nur Adressen echter Benutzer auf dem Server annimmt. Einige Änderungen an diesen Einstellungen räumten das Hindernis aber aus dem Weg, etwa wenn ein Server als Backup-Mailserver E-Mails für eine andere Domain annahm. Selbst für die Standardeinstellungen fand Qualys einen Weg. Der Angreifer brachte Exim dazu, eine Fehlermeldung an einen Server unter seiner Kontrolle zu schicken. Diese Verbindung hielt er sieben Tage lang offen und sendete alle vier Minuten ein Byte. Nach sieben Tagen gab Exim die Nachricht auf und führte den Befehl aus.\nAngreiferschickt eine E-Mail mit einem Befehl in der Empfängeradresse Eximkann die E-Mail nicht zustellen und bearbeitet den Fehler Expansionliest die Adresse als Vorlage und findet den run-Befehl Serverführt den Befehl als root aus Auf dem Server selbst funktionierte der Angriff sofort; aus dem Internet brauchte er eine geänderte Einstellung oder eine sieben Tage lang offene Verbindung. Der Name spielt auf WIZ und DEBUG an, zwei alte Lücken in Sendmail, einem älteren Mailserver, über die ebenfalls Außenstehende Befehle ausführen konnten.\nReichweite und Angriffe Weil niemand den Fehler als Sicherheitslücke erkannt hatte, lieferten die meisten Betriebssysteme noch eine betroffene Version aus, schrieb Qualys. Das Unternehmen führte den Angriff an einem aktuellen Debian 9.9 vor. Einen Tag nach dem Fix durchsuchte das Sicherheitsunternehmen Tenable die Suchmaschine Shodan. Sie hält fest, was Server im Internet über sich preisgeben. Tenable fand mehr als 4,1 Millionen Systeme mit Exim 4.87 bis 4.91 und 475.591 mit der korrigierten Version 4.92. Fast 90 % der gefundenen Exim-Systeme waren also für die Lücke offen.\nExim-Versionen in den Suchergebnissen von Shodan, Juni 2019 Exim 4.87206.024 Exim 4.8824.608 Exim 4.89206.571 Exim 4.905.480 Exim 4.913.738.863 Exim 4.92, korrigiert475.591 Systeme, die einen Tag nach dem Fix die jeweilige Version zeigten; die Versionen 4.87 bis 4.91 hatten die Lücke. Anbieterdaten von Tenable.\nSolche Zählungen beruhen auf der Versionsnummer, die ein Server anzeigt. Debian etwa korrigierte sein Exim 4.89 am 5. Juni 2019 mit einem Update, ohne diese Nummer zu ändern. Nicht jedes gezählte System blieb also offen.\nDie Angriffe begannen schnell. Am 9. Juni, vier Tage nach dem Fix, meldete ein Sicherheitsforscher die ersten Versuche, die Lücke auszunutzen. Am 13. Juni bestätigte Microsoft einen aktiven Wurm. Der Konzern forderte die Kunden seiner Cloud Azure auf, ihre virtuellen Server zu patchen oder den Zugang zu ihnen einzuschränken. Am 14. Juni beschrieb das Canadian Centre for Cyber Security, die kanadische Cyberbehörde, die Angriffe. Eine erste E-Mail brachte den Server dazu, Schadsoftware herunterzuladen. Danach sorgte eine geplante Aufgabe dafür, dass die Angreifer auf dem Server blieben. Mit einem hinzugefügten Schlüssel konnten sie sich über SSH, den Dienst für Fernanmeldungen, als root anmelden. Ein Skript suchte im Internet nach weiteren verwundbaren Exim-Servern und griff sie an. Um sich zu tarnen, nutzten die Angreifer Tor, ein Netzwerk für anonyme Verbindungen.\nDie meisten dieser Angriffe installierten Krypto-Miner, schrieb das britische National Cyber Security Centre (NCSC) im Oktober 2019. Solche Programme lassen einen gekaperten Server Kryptowährung erzeugen. Seit dem 23. August 2019 machte ein fertiges Modul für Metasploit, ein verbreitetes Werkzeug für Angriffe, den Angriff leicht. Das NCSC zählte allein in Großbritannien mehr als 174.000 Exim-Server, die noch für diese Lücke oder für zwei im September 2019 gefundene Exim-Lücken offen waren.\nIm Mai 2020 meldete der US-Geheimdienst National Security Agency (NSA), dass Sandworm die Lücke seit mindestens August 2019 ausnutzte. Sandworm ist eine Hackergruppe des russischen Militärgeheimdienstes GRU. Das NCSC schloss sich diesen Erkenntnissen an und informierte die betroffenen Anbieter in Großbritannien. Wenige Tage später meldete die kanadische Cyberbehörde Opfer in Kanada, zuletzt durch Angriffe im Mai 2020. Im Jahr 2020 fand das Sicherheitsunternehmen Rapid7 noch etwa 87.500 Server mit einer verwundbaren Version im Internet. Wie groß der Schaden durch die Angriffe war, ist nicht dokumentiert.\nDer Fix und die Reaktion Das Seltsamste an der Geschichte: Die Lücke war bereits behoben. Exim 4.92, erschienen am 10. Februar 2019, hatte den Code geändert, doch niemand hatte bemerkt, dass die Änderung eine Sicherheitslücke schloss. Qualys fand die Lücke, als es die jüngsten Änderungen an Exim prüfte, und meldete sie am 27. Mai 2019. Das Exim-Team schrieb noch am selben Tag einen Patch.\nAm 3. Juni warnte das Team, ein Angriff aus der Ferne sei möglich, noch ohne Details. Es plante eine abgestimmte Veröffentlichung für den 11. Juni, damit die Linux-Distributionen ihre Updates vorbereiten konnten. Weil Details durchgesickert waren, veröffentlichte es den Fix vorzeitig, am 5. Juni um 15:15 Uhr UTC. Debian brachte sein Update noch am selben Tag heraus. Qualys veröffentlichte seinen Sicherheitshinweis ebenfalls an diesem Tag, zunächst ohne die Angriffsmethoden, und die vollständige Fassung am 6. Juni.\nFür die alten Versionen brachte das Exim-Team kein neues Release heraus, weil es sie als veraltet betrachtete. Betreiber mussten das Update ihrer Distribution installieren oder auf Version 4.92 wechseln. Im Mai 2020 riet das NCSC den Anbietern, sofort Version 4.93 oder neuer zu installieren.\nDie US-amerikanische National Vulnerability Database bewertet die Lücke auf CVSS 3.1 mit 9,8 von 10, also als „kritisch“. Red Hat gibt ihr auf der älteren Version 3.0 eine 9,0 und stuft den Angriff als schwerer durchführbar ein. Die US-Cyberbehörde CISA nahm die Lücke am 10. Januar 2022 in ihre Liste ausgenutzter Schwachstellen auf.","title":"Exim: Die E-Mail-Adresse, die Mailserver übernahm","url":"https://crackthe.net/de/sicherheit/schwachstellen/exim/"}