( 08/03/2016 21:25 )

Un mese fa (Febbraio 2016) mi sono accorto che la versione di Exim utilizzata dal pannello di controllo del VPS dove hosto i miei siti web era vulnerabile all'attacco POODLE in quanto non era possibile disabilitare SSLv3.

Mi sono messo in contatto con lo staff del pannello ma, dopo alcune ricerche durate qualche giorno... è emerso che quella era l'ultima versione disponibile in CentOS tramite pacchetti EPEL.

Dal Forum di CentOS sono stato reindirizzato a RedHat dove ho potuto aprire un BUG e prendere discussione ad una segnalazione già aperta nel 2015 che evidenziava l'anzianità del componente Exim.

Grazie alla mia segnalazione di vulnerabilità si è mosso il motore dopo il quale, finalmente, un aggiornamento è stato messo in fase di test. La fase di test dura 14 giorni a meno che nessuno possa testare prima il componente e dare un karma positivo.

Dopo questi 14 giorni la versione di Exim contenente la modifica necessaria a garantire la sicurezza, è passata a stabile. A questo punto ho avvertito quelli del pannello di controllo del mio VPS che hanno iniziato a testare.

E' passato quasi un mese. Nel week end esce una nuova vulnerabilità più grave ancora del POODLE: il DROWN attack.
Per fortuna dopo qualche giorno, lo staff del pannello di controllo del VPS ha rilasciato la versione di Exim con la soluzione da me richiesta... che si è rivelata utile anche a risolvere il grave problema della vulnerabilità DROWN che deriva dal fatto che veniva utilizzato SSLv2 anche se disattivato.

Una grande soddisfazione!
Oggi il blog e la posta elettronica è tornata ad avere un livello A di sicurezza che non garantisce che siamo invulnerabili ma che almeno siamo abbastanza in ordine. Quello che doveva essere fatto è stato fatto :-)

Segnalazione BUG a RedHat https://bugzilla.redhat.com/show_bug.cgi?id=1274822
Link a Fedora Exim: https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-8e8ac9dfda