I det udviklede projekt Sagredo's fork af mailserveren qmail er der identificeret en sårbarhed (CVE-2026-41113), der tillader fjernudførelse af vilkårlige kommandoer på serveren med rettighederne fra brugeren qmailr. Sårbarheden skyldes mangel på escape af specialtegn i hostname, der returneres af DNS-serveren under bestemmelsen af MX-gatewayen, kombineret med overførsel af det modtagne navn til popen-kommandoen uden ordentlig adskillelse og filtrering af argumenter ved kald af shell. Sårbarheden blev rettet i udgivelsen den 2026.04.07. Et værktøj til udnyttelse af sårbarheden er offentliggjort.
I oktober 2024 introducerede projekt Sagredo en ændring i utility qmail-remote, der tilføjer funktionen «notlshosts_auto», som husker værter med en ukorrekt implementering af TLS-protokollen, som ikke kan etablere en TLS-forbindelse, for at forhindre en uendelig forsøg på at sende mail til sådanne værter.
Problemet er, at gemningen af hostname blev udført ved at køre kommandoskallen ved hjælp af funktionen popen() med argumentet «/bin/touch %s/control/notlshosts/’%s'», hvor MX-hostnavnet, der returneres af DNS-serveren, blev indsat. Angriberen kunne køre sin egen DNS-server, der returnerer MX-navnet som «x'`id>/tmp/pwned`’y.evil.com», og opnå udførelsen af den indskudte kode ved at skabe forhold, der udførte gemningsfunktionen for det fejlagtige mailsystem. server.
Kilde: opennet.ru
