Remotecodeausführung in einem Fork des Mailservers qmail vom Projekt Sagredo

Im entwickelten Projekt Sagredo des E-Mail-Servers qmail wurde eine Schwachstelle (CVE-2026-41113) entdeckt, die es ermöglicht, beliebige Befehle auf einem Server mit den Rechten des Benutzers qmailr remote auszuführen. Die Schwachstelle ist darauf zurückzuführen, dass spezielle Zeichen im Hostnamen, der vom DNS-Server bei der Bestimmung des MX-Gateways zurückgegeben wird, nicht korrekt maskiert werden, kombiniert mit der Übertragung des erhaltenen Namens in den popen-Befehl ohne angemessene Trennung und Filterung der Argumente bei der Shell-Übertragung. Die Schwachstelle wurde im Release 2026.04.07 behoben. Ein Toolkit zur Ausnutzung der Schwachstelle wurde öffentlich veröffentlicht.

Im Oktober 2024 hat das Projekt Sagredo eine Änderung in das qmail-remote-Werkzeug eingeführt, die die Funktion „notlshosts_auto“ hinzufügt, die Hosts mit einer fehlerhaften Implementierung des TLS-Protokolls speichert, mit denen keine TLS-Verbindung hergestellt werden kann, um eine Endlosschleife beim fehlerhaften E-Mail-Versand an solche Hosts zu verhindern.

Das Problem besteht darin, dass der Hostname über den Start einer Shell mit der Funktion popen() unter Verwendung des Arguments „/bin/touch %s/control/notlshosts/’%s'“ gespeichert wurde, in das der vom DNS-Server zurückgegebene MX-Hostname eingesetzt wurde. Ein Angreifer konnte seinen eigenen DNS-Server betreiben, der in den DNS-Einträgen MX einen Namen wie „x’`id>/tmp/pwned`’y.evil.com“ zurückgibt, und somit die Ausführung des eingesetzten Codes erzwingen, indem er Bedingungen für den Aufruf der Funktion zum Speichern des fehlerhaften E-Mail-Namens schafft. Server.

Quelle: opennet.ru