U razvoju projekta Sagredo forka poštanskog servera qmail otkrivena je ranjivost (CVE-2026-41113) koja omogućuje daljinsko izvršenje proizvoljnih komandi na serveru s pravima korisnika qmailr. Ranjivost je uzrokovana nedostatkom escape-a specijalnih znakova u imenu hosta koje vraća DNS server prilikom određivanja MX gateway-a, u kombinaciji s prijenosom dobivenog imena u komandu popen bez adekvatnog razdvajanja i filtriranja argumenata prilikom poziva shell-a. Ranjivost je ispravljena u izdanju 2026.04.07. Objavljen je alat za eksploataciju ranjivosti.
U listopadu 2024. godine projekt Sagredo uveo je u utilitu qmail-remote promjenu koja dodaje funkciju "notlshosts_auto", koja pamti hostove s nepravilnom implementacijom TLS protokola s kojima nije moguće uspostaviti TLS vezu, kako bi se spriječilo beskonačno slanje mailova na takve hostove.
Problem je u tome što je spremanje imena hosta vršeno pokretanjem komandne ljuske pomoću funkcije popen() s argumentom "\/bin\/touch %s\/control\/notlshosts\/’%s'" u koji se ubacivalo ime MX hosta koje je vratio DNS server. Napadač je mogao pokrenuti svoj DNS server, koji vraća u DNS zapisu MX ime oblika "x’`id>\/tmp\/pwned`’y.evil.com", i postići izvršenje umetnutog koda, stvarajući uvjete za poziv funkcije za spremanje imena neuspjelog poštanskog. poslužitelja.
Izvor: opennet.ru
