Koodi kaugteostamine qmail meiliserveri forkis Sagredo projekti poolt

Sagredo projekti arendatavas qmail postiserveri harukas leiti haavatavus (CVE-2026-41113), mis võimaldab kaugelt täita juhuslikke käske serveris kasutaja qmailr õigustega. Haavatavuse põhjuseks on erimärkide puuduv escapedamine hostinimes, mille DNS-server tagastab MX-silla määramisel, koos saadud nime edastamisega popen käsklusse ilma nõuetekohase argumentide eraldamise ja filtreerimiseta shelli kutsumise ajal. Haavatavus on kõrvaldatud väljaandes 2026.04.07. Avaldatud on tööriistakomplekt haavatavuse ärakasutamiseks.

2024. aasta oktoobris tõi Sagredo projekt qmail-remote utiliiti muudatusi, mis lisas funktsiooni „notlshosts_auto”, mis salvestab hostid vale TLS-protokolli rakendusega, millega ei õnnestu luua TLS-ühendust, vältimaks tsüklit vigastele hostidele teadlikult ebaõnnestuva e-kirja saatmise osas.

Probleem seisneb selles, et hostinime salvestamine toimus käsurea abil kasutades funktsiooni popen() argumentidega „/bin/touch %s/control/notlshosts/’%s'”, kuhu sisestati DNS-serverist saadud MX-hostinimi. Ründaja sai käivitada oma DNS-serveri, mis tagastab DNS-kirjades MX nime nagu „x’`id>/tmp/pwned`’y.evil.com”, ja saavutada sisestatud koodi täitmine, luues tingimused vigase postiserveri hostinime salvestamise funktsiooni kutsumiseks. serverilt.

Allikas: opennet.ru