Nel progetto in sviluppo del fork del server di posta Sagredo è stata individuata una vulnerabilità (CVE-2026-41113) che permette l'esecuzione remota di comandi arbitrari sul server con i privilegi dell'utente qmailr. La vulnerabilità è causata dalla mancanza di escape dei caratteri speciali nel nome host restituito dal server DNS durante la determinazione del gateway MX, insieme alla trasmissione del nome ottenuto al comando popen senza un'adeguata separazione e filtraggio degli argomenti al momento della chiamata alla shell. La vulnerabilità è stata corretta nella release del 2026.04.07. È stato pubblicato un toolkit per sfruttare la vulnerabilità.
Nel ottobre 2024, il progetto Sagredo ha apportato una modifica all'utilità qmail-remote, aggiungendo la funzione "notlshosts_auto" che memorizza gli host con un'implementazione errata del protocollo TLS, con cui non è possibile stabilire una connessione TLS, per prevenire il looping di invii di posta falliti verso tali host.
Il problema è che la memorizzazione del nome host avveniva tramite l'esecuzione di una shell utilizzando la funzione popen() con l'argomento "\/bin\/touch %s\/control\/notlshosts\/'%s'", nel quale veniva inserito il nome dell'host MX restituito dal server DNS. Un attaccante potrebbe avviare il proprio server DNS restituendo nei record DNS MX un nome del tipo "x'`id>\/tmp\/pwned`'y.evil.com", e ottenere l'esecuzione del codice inserito, creando condizioni per chiamare la funzione di memorizzazione del nome dell'host di posta fallito. server.
Fonte: opennet.ru
