Cụ thể, lỗ hổng được định danh nội bộ EXIM-Security-2026-05-01.1 ảnh hưởng đến các phiên bản Exim từ 4.97 đến 4.99.2. Lỗ hổng này có thể cho phép tin tặc tấn công từ xa mà không cần xác thực, không yêu cầu quyền truy cập trước, khiến bề mặt tấn công mở rộng đáng kể trong các hệ thống email đang vận hành thực tế.

Vấn đề nằm trong cơ chế xử lý TLS của Exim khi sử dụng GnuTLS, đặc biệt liên quan đến cách hệ thống xử lý lệnh BDAT trong phần mở rộng của giao thức SMTP. Đây là cơ chế cho phép gửi email dung lượng lớn theo từng phần. Khi một phiên TLS đang xử lý BDAT bị gián đoạn bởi tín hiệu close_notify, hệ thống bắt đầu quá trình giải phóng phiên kết nối nhưng không reset đúng trạng thái của chuỗi xử lý đầu vào. Điều này dẫn đến việc tồn tại con trỏ bộ nhớ không còn hợp lệ.

Các nhà nghiên cứu đánh giá đây là dạng lỗ hổng bộ nhớ cổ điển nhưng có mức độ rủi ro cao trong môi trường email server, nơi các dịch vụ thường xuyên mở cổng TLS công khai và xử lý lưu lượng từ Internet mà không cần xác thực. Điều này khiến việc khai thác trở nên khả thi chỉ với khả năng thiết lập kết nối SMTP tiêu chuẩn và sử dụng cơ chế BDAT vốn được hỗ trợ rộng rãi.

Nhóm phát triển Exim đã xác nhận và xử lý lỗ hổng sau khi nhận báo cáo từ nhà nghiên cứu Federico Kirschbaum thuộc XBOW Security. Bản vá được phát hành trong phiên bản 4.99.3. Các quản trị viên đang vận hành Exim trong dải phiên bản bị ảnh hưởng cần lập tức cập nhật lên phiên bản 4.99.3 để loại bỏ hoàn toàn nguy cơ bị khai thác từ xa.