Nel fork del server di posta qmail sviluppato dal progetto Sagredo è stata scoperta una vulnerabilità (CVE-2026-41113) che consente l'esecuzione remota di comandi arbitrari sul server con i diritti dell'utente qmailr. La vulnerabilità è causata dalla mancanza di escaping dei caratteri speciali nel nome host restituito dal server DNS durante la determinazione del gateway MX, combinata con il passaggio del nome ottenuto al comando popen senza adeguata separazione e filtraggio degli argomenti durante la chiamata della shell. La vulnerabilità è stata corretta nella versione del 07 aprile 2026. È stata pubblicata una toolkit accessibile per l'exploitation della vulnerabilità.
Nel ottobre 2024, il progetto Sagredo ha apportato una modifica all'utilità qmail-remote, aggiungendo la funzione «notlshosts_auto», che memorizza gli host con implementazioni non corrette del protocollo TLS, con cui non è possibile stabilire una connessione TLS, per prevenire il looping dell'invio di email a questi host problematici.
Il problema è che il salvataggio del nome host veniva eseguito tramite l'esecuzione della shell utilizzando la funzione popen() con l'argomento «/bin/touch %s/control/notlshosts/’%s'», nel quale veniva inserito il nome dell'host MX ritornato dal server DNS. Un attaccante poteva avviare il proprio server DNS, restituendo nei record DNS un nome del tipo «x’`id>/tmp/pwned`’y.evil.com», e ottenere l'esecuzione del codice iniettato, creando le condizioni per chiamare la funzione di salvataggio del nome dell'host difettoso. server.
Fonte: opennet.ru
