V rozvíjeném projektu Sagredo forku poštovního serveru qmail byla zjištěna zranitelnost (CVE-2026-41113), která umožňuje dosažení vzdáleného provádění libovolných příkazů na serveru s právy uživatele qmailr. Zranitelnost je způsobena nedostatkem escapování speciálních znaků v názvu hostitele, který vrací DNS server při určování MX brány, v kombinaci s předáním získaného názvu do příkazu popen bez řádného oddělení a filtrování argumentů při volání shellu. Zranitelnost byla odstraněna ve vydání 2026.04.07. V otevřeném přístupu byl zveřejněn nástroj pro zneužití této zranitelnosti.
V říjnu 2024 projekt Sagredo přidal do utility qmail-remote změnu, která přidává funkci „notlshosts_auto“, jež si pamatuje hostitele s neplatnou implementací protokolu TLS, se kterými se nedaří navázat TLS spojení, aby se zabránilo cyklení zjevně neúspěšného odesílání pošty na takové hostitele.
Problém je v tom, že uchovávání názvu hostitele probíhalo pomocí spuštění příkazového shellu pomocí funkce popen() s argumentem „/bin/touch %s/control/notlshosts/’%s'“, do kterého bylo dosazeno jméno MX hostitele vrácené DNS serverem. Útočník mohl spustit svůj DNS server, který vrací v DNS záznamech MX jméno ve tvaru „x’`id> /tmp/pwned`’y.evil.com“ a dosáhnout vykonání vloženého kódu, čímž vytvořil podmínky pro vyvolání funkce uchovávání názvu vadného poštovního. serveru.
Zdroj: opennet.ru
