Una vulnerabilità (CVE-2026-41113) hè stata scuperta in u fork qmail di u prugettu Sagredo. Sta vulnerabilità permette l'esecuzione remota di cumandamenti arbitrarii nant'à u servitore cù i privilegii di l'utilizatore qmailr. A vulnerabilità hè causata da a mancanza di scappamentu di caratteri speciali in u nome di l'ospite restituitu da u servitore DNS quandu si determina u gateway MX, cumminata cù u passaghju di u nome di l'ospite risultante à u cumandamentu popen senza una separazione di l'argumenti è un filtraggio adatti quandu si invoca a shell. A vulnerabilità hè stata corretta in a versione 2026.04.07. Un kit di strumenti per sfruttà a vulnerabilità hè statu publicatu.
In uttrovi 2024, Sagredo hà cuntribuitu una mudificazione à l'utilità qmail-remote chì hà aghjustatu una funzione "notlshosts_auto", chì si ricorda di l'ospiti cù implementazioni di protocolu TLS incorrette cù e quali ùn si pò stabilisce una cunnessione TLS, per impedisce cicli di inviu di mail fallitu scientemente à tali ospiti.
U prublema era chì a preservazione di u nome di l'ospite era ottenuta lancendu una shell di cumanda aduprendu a funzione popen() cù l'argumentu "/bin/touch %s/control/notlshosts/'%s'" in u quale u nome di l'ospite MX restituitu da u servitore DNS era sustituitu. Un attaccante puderia lancià u so propiu servitore DNS, restituendu un nome di a forma "x'`id>/tmp/pwned`'y.evil.com" in i registri DNS, è eseguisce u codice sustituitu creendu cundizioni per chjamà a funzione di preservazione di u nome di u servitore di posta difettuosu. servitore.
Source: opennet.ru
