Im entwickelten Projekt Sagredo für den Mailserver qmail wurde eine Sicherheitsanfälligkeit (CVE-2026-41113) festgestellt, die das entfernte Ausführen beliebiger Befehle auf dem Server mit den Rechten des Benutzers qmailr ermöglicht. Diese Schwachstelle entsteht durch das Fehlen der Maskierung von Sonderzeichen im Hostnamen, der vom DNS-Server bei der Bestimmung des MX-Gateways zurückgegeben wird, in Kombination mit der Übertragung des erhaltenen Namens in den Befehl popen ohne adäquate Trennung und Filterung der Argumente beim Aufruf der Shell. Die Sicherheitsanfälligkeit wurde in der Version 2026.04.07 behoben. Ein Toolkit zur Ausnutzung der Schwachstelle wurde öffentlich zugänglich gemacht.
Im Oktober 2024 nahm das Sagredo-Projekt eine Änderung an der Utility qmail-remote vor, die die Funktion „notlshosts_auto“ hinzufügt. Diese Funktion speichert Hosts mit fehlerhafter TLS-Protokollimplementierung, mit denen keine TLS-Verbindung hergestellt werden kann, um ein wiederholtes Senden von E-Mails an derartige Hosts zu verhindern.
Das Problem liegt darin, dass die Speicherung des Hostnamens über die Ausführung einer Shell mit der Funktion popen() und dem Argument „/bin/touch %s/control/notlshosts/’%s'“ erfolgt ist, wobei der Name des MX-Hosts, der vom DNS-Server zurückgegeben wurde, eingesetzt wurde. Ein Angreifer könnte seinen eigenen DNS-Server starten, der in den DNS-Einträgen einen Namen wie „x’`id>/tmp/pwned`’y.evil.com“ zurückgibt, und die Ausführung des eingesetzten Codes herbeiführen, indem er Bedingungen schafft, die den Aufruf der Funktion zur Speicherung des Namens des fehlerhaften Mailservers ermöglichen. сервера.
Quelle: opennet.ru
