CVE-2026-107572 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Ineffiziente Komplexität bei der Auswertung von Sieve-Filtern in Progressive Robot hMailServer 6.2.24 bis 6.3.5 ermöglicht es einem authentifizierten Kontoinhaber, die E-Mail-Dienste mit seinem eigenen Filter unbrauchbar zu machen. Ein ':matches'-Muster wurde durch einen Backtracking-Abstieg (backtracking descent) abgeglichen, dessen Laufzeit mit der Länge des übereinstimmenden Werts potenziert zur Anzahl der Wildcards wuchs; so benötigte ein Muster wie '*a*a*a*b' über 800 Zeichen 44 Sekunden. Zudem entfernte 'deleteheader' die Felder einzeln nacheinander, sodass das Entfernen vieler Felder eines Namens im Header einer Nachricht eine Komplexität von O(N^2) verursachte (80.000 Felder benötigten 18,8 Sekunden). Da Sieve-Filter auf dem kleinen, gemeinsam genutzten Thread-Pool für die Zustellung ausgeführt werden, führt ein aktives Skript eines Kontoinhabers, das dies auslöst und mit wenigen Nachrichten gespeist wird, die der Benutzer selbst senden kann, zur Erschöpfung des Pools und stoppt die Zustellung auf dem gesamten Server. Das Skript gehört dem jeweiligen Kontoinhaber und kann nicht für einen anderen Benutzer festgelegt werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.