A fejlesztés alatt álló Sagredo projekt qmail levelezőszerver forkjában egy sebezhetőséget (CVE-2026-41113) fedeztek fel, amely lehetővé teszi távoli parancsok végrehajtását a qmailr felhasználó jogosultságaival rendelkező szerveren. A sebezhetőséget az okozza, hogy a DNS-szerver által visszaadott gazdagép név speciális karaktereinek megfelelő escape-elése hiányzik, amikor az MX-gateway meghatározásakor történik, és a kapott név a popen parancsba kerül megfelelő argumentumelválasztás és -szűrés nélkül a shell hívásakor. A sebezhetőség a 2026.04.07-es kiadásban lett kiváltva. A sebezhetőség kihasználására szolgáló eszközök nyilvánosan elérhetővé váltak.
2024 októberében a Sagredo projekt módosítást hajtott végre a qmail-remote segédprogramban, hozzáadva a "notlshosts_auto" funkciót, amely memóriában tartja a TLS protokoll helytelen megvalósításával rendelkező gazdagépeket, amelyek nem tudnak TLS-kapcsolatot létesíteni, a hasonló gazdagépekhez történő sikertelen levelezés ciklikus elkerülésére.
A probléma az, hogy a gazdagép neve a parancssori shell megnyitásával történt a popen() funkción keresztül a "\/bin\/touch %s\/control\/notlshosts\/’%s'" argumentummal, amelybe az MX-gazdagép DNS-szerver által visszaadott neve került. A támadó elindíthatta a saját DNS-szerverét, amely az MX rekordokban olyan nevet ad vissza, mint a "x’`id >\/tmp\/pwned`’y.evil.com", és lehetőséget teremtett a beszúrt kód végrehajtására, így lehetőséget adva a hibás levelezőszerver gazdagép nevének mentési funkciójának hívására. a szerver.
Forrás: opennet.ru
