CVE-2026-107576 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Eine ineffiziente algorithmische Komplexität bei der eingehenden DKIM- und ARC-Signaturprüfung in Progressive Robot hMailServer 6.0.0 bis 6.3.5 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, die E-Mail-Dienste durch das Senden einer Nachricht unbrauchbar zu machen. Das Erstellen des kanonisierten Headers und das Auswählen der Header-Felder, die in dem h= Tag einer Signatur genannt sind, benötigte Zeit, die mit dem Quadrat der Anzahl der Felder im Nachrichten-Header wuchs: Die 'einfache' Kanonisierung fügte jede Fortsetzungszeile eines gefalteten Felds an die bereits gesammelten Zeilen an, und beide Kanonisiierungen suchten in den gesammelten Feldern von unten nach jedem h= Namen und löschten das Übereinstimmende aus der Mitte der Liste. Eine Nachricht mit sehr vielen Headern oder einem über viele Zeilen gefalteten Feld, bei der ein Angreifer eine DKIM-Signatur für eine Domain unter seiner Kontrolle signiert, hält einen Worker-Thread pro Signatur mehrere Dutzend Sekunden lang beschäftigt; bis zu zehn Signaturen werden von jedem der DKIM- und DMARC-Tests auf den Threads ausgewertet, die Zustellung und SMTP bedienen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.