Betroffen sind laut XBOW die Exim-Versionen 4.97 bis 4.99.2, sofern sie mit GnuTLS kompiliert wurden und STARTTLS sowie CHUNKING anbieten. Builds, die auf OpenSSL setzen, sind nicht angreifbar. Gelingt die Ausnutzung, können Angreifer Befehle auf dem Server ausführen, auf Exim-Daten und E-Mails zugreifen und sich abhängig von Rechten und Konfiguration des Servers tiefer in die Umgebung vorarbeiten.

XBOW meldete die Schwachstelle den Exim-Maintainern am 1. Mai und erhielt am 5. Mai eine Bestätigung. Drei Tage später wurden die betroffenen Linux-Distributionen informiert. Den Fehler behebt Exim mit der Version 4.99.3.

Bemerkenswert ist, wie der Proof-of-Concept entstand: XBOW beschreibt die Entwicklung als siebentägigen Wettstreit zwischen dem firmeneigenen, autonom arbeitenden KI-System XBOW Native und einem menschlichen Forscher, der von einem großen Sprachmodell unterstützt wurde.

XBOW Native erzeugte einen funktionierenden Exploit gegen einen vereinfachten Ziel-Server ohne Address Space Layout Randomization (ASLR) und mit einer Nicht-PIE-Binärdatei. In einem zweiten Anlauf gelang dem Sprachmodell ein Exploit auf einer Maschine mit ASLR, allerdings weiterhin mit einer Nicht-PIE-Binärdatei. Statt mit gängigen Mechanismen den Allocator der glibc anzugreifen, habe sich XBOW Native dem eigenen Allocator von Exim zugewandt, berichten die Forscher.

Das Rennen entschied dennoch der menschliche Forscher für sich — unterstützt vom Sprachmodell bei Aufgaben wie dem Zusammensetzen von Dateien und dem Erproben von Angriffswegen. Er räumte das beeindruckende Tempo des Modells ein, betonte aber, dass man die Arbeitsumgebung gezielt formen müsse, statt das Modell sich seinen eigenen Raum schaffen zu lassen.

„Ehrlich gesagt halte ich Sprachmodelle allein noch nicht für reif genug, um Exploits gegen reale Software zu schreiben“, so der Forscher. „Nach dieser Erfahrung glaube ich, dass sie etwas in der Art eines CTF lösen können, aber das Niveau echter Produktionsziele sehen sie meiner Einschätzung nach noch nicht erreichen.“ Die entscheidende Rolle von KI-Werkzeugen erkenne er gleichwohl an: Sie helfen dabei, unbekannten Code zu verstehen und verdächtige Stellen deutlich schneller zu durchdringen als ohne sie.

Nutzern von Ubuntu- und Debian-basierten Distributionen empfiehlt XBOW, die verfügbaren Exim-Updates auf Version 4.99.3 über die Paketverwaltung einzuspielen.