CVE-2026-107575 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Ineffiziente algorithmische Komplexität bei der SPF-Makroerweiterung in Progressive Robot hMailServer 6.3.4 und 6.3.5 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, die Rechenzeit von Worker-Threads zu verbrauchen, indem er einen speziell konstruierten SPF-Eintrag veröffentlicht. RFC 7208 Abschnitt 7.1 verlangt, dass ein Name, der für eine Auflösung zu lang ist, durch das Entfernen ganzer Labels von links verkürzt wird; der Server tat dies jedoch, indem er jeweils nur ein Label entfernte und den Rest des Namens jedes Mal kopierte, sodass die Arbeitslast mit dem Quadrat der Erweiterung anwuchs. Ein Angreifer, der einen SPF-Eintrag für eine Domain veröffentlicht, die er kontrolliert, mit einem Mechanismus, dessen domain-spec sich durch Makroerweiterung zu einem Namen entwickelt, der weit länger als 253 Zeichen ist, lässt die SPF-Prüfung einer Nachricht aus dieser Domain mehrere Sekunden dauern. Die Erweiterung wird durch die eigenen pro-Term- und pro-Makro-Limits von SPF begrenzt, sodass der Verfügbarkeitsverlust nur teilweise ist.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.