<html>
  <head>
    <meta http-equiv="Content-Type" content="text/html; charset=utf-8">
  </head>
  <body text="#000000" bgcolor="#FFFFFF">
    <p>Hi!<br>
    </p>
    <br>
    <div class="moz-cite-prefix">At 05/11/17 18:59, Marc Haber wrote:<br>
    </div>
    <blockquote type="cite"
      cite="mid:20171105175952.fivrtrru4b6zj3on@torres.zugschlus.de">
      <pre wrap="">On Sun, Nov 05, 2017 at 04:09:37PM +0100, Andreas Metzler wrote:
</pre>
      <blockquote type="cite">
        <pre wrap="">I do not see the attacker gain, the same information can be extracted by
trying out RCPT TO *@omega-software.com with FROM <a class="moz-txt-link-abbreviated" href="mailto:attacker@gmail.com">attacker@gmail.com</a>.
</pre>
      </blockquote>
      <pre wrap="">
Additionally, we are desperately trying to stay close to the upstream
configuration. If this is really an issue, then all non-Debian exim
installations are vulnerable as well.

What I am trying to say is, this issue should be reported and
discussed with upstream _before_ we make this change. Paul, can you do
that to make your point there?</pre>
    </blockquote>
    Yes of course. As moving sender verification is only useful if
    recipient verification is moved, I'll make my point for recipient
    verification first then.<br>
    <br>
    If they're receptive I'll bring up sender verification after that.<br>
    <br>
    <div class="moz-signature">-- <br>
      Paul Graham<br>
      Development Dept.<br>
      <a href="http://Omega-Software.com/">http://Omega-Software.com/</a><br>
      <br>
      <img src="cid:part2.B5AB611C.9DA9806D@omega-software.com"
        alt="Omega Software" height="65" width="72">
    </div>
  </body>
</html>