I det framvÀxande projektet Sagredo av den moddade e-postservern qmail har en sÄrbarhet (CVE-2026-41113) upptÀckts, som möjliggör fjÀrrkörning av godtyckliga kommandon pÄ servern med rÀttigheterna hos anvÀndaren qmailr. SÄrbarheten orsakas av avsaknaden av korrekt hantering av specialtecken i vÀrdnamnet som returneras av DNS-servern vid faststÀllande av MX-gateway, i kombination med vidarebefordran av det erhÄllna namnet till popen utan korrekt separation och filtrering av argumenten vid anrop av shell. SÄrbarheten ÄtgÀrdades i versionen 2026.04.07. Ett verktyg för att utnyttja sÄrbarheten har publicerats som öppen kÀllkod.
I oktober 2024 gjorde projektet Sagredo en Àndring i verktyget qmail-remote som lade till funktionen "notlshosts_auto", som minns vÀrdar med felaktig implementation av TLS-protokollet, för vilka TLS-anslutning inte kan upprÀttas, för att förhindra oÀndlig slinga av misslyckad e-postleverans till sÄdana vÀrdar.
Problemet Àr att lagringen av vÀrdnamnet genomfördes genom att köra kommandotolken med funktionen popen() med argumentet "/bin/touch %s/control/notlshosts/'%s'" dÀr MX-vÀrdnamnet som returnerades av DNS-servern infogades. En angripare kunde starta sin egen DNS-server som returnerade ett MX-vÀrdnamn av typen "x'`id>/tmp/pwned`'y.evil.com", och Ästadkomma exekvering av insatt kod, vilket skapade förhÄllanden för att anropa funktionen för att lagra det misslyckade e-postservernamnet. servern.
KĂ€lla: opennet.ru
