V rozvíjajúcom sa projekte Sagredo fork poštového servera qmail bola zistená zraniteľnosť (CVE-2026-41113), ktorá umožňuje dosiahnuť vzdialené vykonávanie ľubovoľných príkazov na serveri s právami používateľa qmailr. Zraniteľnosť je spôsobená absenciou escapovania špeciálnych znakov v názve hostiteľa, ktorý vracia DNS server pri určovaní MX brány, v kombinácii s odovzdávaním získaného názvu do príkazu popen bez riadneho oddelenia a filtrácie argumentov pri volaní shell. Zraniteľnosť bola odstránená v vydaní 2026.04.07. V otvorenom prístupe bol zverejnený nástroj na exploitáciu zraniteľnosti.
V októbri 2024 projekt Sagredo pridal do utility qmail-remote zmenu, ktorá pridáva funkciu „notlshosts_auto“, ktorá pamätá hosty s nekorektnou implementáciou protokolu TLS, s ktorými sa nepodarilo nadviazať TLS pripojenie, aby sa predišlo zacykleniu zjavne neúspešného odosielania pošty na takéto hosty.
Problém spočíva v tom, že uloženie názvu hostiteľa sa vykonávalo cez spustenie príkazového shellu pomocou funkcie popen() s argumentom „/bin/touch %s/control/notlshosts/’%s'“, do ktorého sa dosadil názov MX hostiteľa, ktorý vracal DNS server. Útočník mohol spustiť svoj DNS server, ktorý vracoval v DNS záznamoch MX názov vo forme „x’`id>`/tmp/pwned`’y.evil.com“, a dosiahnuť vykonanie dosadeného kódu, čím vytvoril podmienky na vyvolanie funkcie na uloženie názvu neúspešného poštového servera.
Zdroj: opennet.ru
