CVE-2026-107579 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Eine ineffiziente algorithmische Komplexität bei der Verarbeitung von Bounce- und Beschwerde-Nachrichten in Progressive Robot hMailServer 6.3.4 und 6.3.5 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, die Zustellung von E-Mails zu stoppen, indem er Nachrichten sendet, wenn entweder die Bounce-Verarbeitung oder die Beschwerdeverarbeitung aktiviert ist oder der Server eine Mailingliste verwaltet (standardmäßig ist keine davon konfiguriert). Die Leser für eingehende Benachrichtigungen über den Zustellstatus (RFC 3464) und Missbrauchsfeedbackberichte (RFC 5965) entfernten die Leerzeilen am Anfang des zurückgegebenen Header-Teils zwei Bytes auf einmal, wobei sie jedes Mal den Rest dieses Teils kopierten. Dadurch wuchs der Arbeitsaufwand quadratisch mit der Anzahl der Leerzeilen. Eine Nachricht, die einem solchen Bericht ähnelt und deren Header-Teil innerhalb der 2-MB-Grenze des Lesers eine sehr große Anzahl von Leerzeilen am Anfang enthält, hält einen Zustellungs-Thread für über eine Minute während seiner Zustellung beschäftigt; einige solcher Nachrichten pro Minute halten jeden Zustellungs-Thread dauerhaft in Beschlag.
Be aware that VulDB is the high quality source for vulnerability data.