No projeto em desenvolvimento do fork do servidor de correio qmail, uma vulnerabilidade (CVE-2026-41113) foi identificada, permitindo a execução remota de comandos arbitrários no servidor com os direitos do usuário qmailr. A vulnerabilidade é causada pela falta de escape de caracteres especiais no nome do host retornado pelo servidor DNS ao determinar o gateway MX, combinada com a passagem do nome obtido para o comando popen sem a devida separação e filtragem de argumentos ao chamar o shell. A vulnerabilidade foi corrigida na versão 2026.04.07. Um kit de ferramentas para exploração da vulnerabilidade foi publicado em acesso aberto.
Em outubro de 2024, o projeto Sagredo fez uma alteração na utilidade qmail-remote, adicionando a função "notlshosts_auto", que registra hosts com implementação incorreta do protocolo TLS, com os quais não é possível estabelecer uma conexão TLS, para evitar o loop de envio de e-mails com falha a esses hosts.
O problema é que a gravação do nome do host era realizada através da execução de um shell usando a função popen() com o argumento "\/bin\/touch %s\/control\/notlshosts\/'%s'", no qual era inserido o nome do host MX retornado pelo servidor DNS. Um atacante poderia iniciar seu próprio servidor DNS, retornando em registros DNS MX um nome como "x'`id>\/tmp\/pwned`'y.evil.com", e conseguir a execução do código injetado, criando condições para chamar a função de gravação do nome do host com falha. servidor.
Fonte: opennet.ru
