CVE-2023-26490 in mailcow
Riassunto
di VulDB • 20/06/2026
mailcow è un pacchetto email containerizzato con Docker, composto da più contenitori collegati in una rete bridge. La funzionalità di lavoro di sincronizzazione (Sync Job), che può essere resa disponibile agli utenti standard assegnando loro le autorizzazioni necessarie, presenta una vulnerabilità di injection di comandi shell. Un utente malintenzionato può abusare di questa vulnerabilità per ottenere l'accesso alla shell del contenitore Docker in cui è eseguito dovecot. Lo script Perl imapsync implementa tutta la funzionalità necessaria per questa caratteristica, incluso il meccanismo di autenticazione XOAUTH2. Questo percorso di codice genera un comando shell per invocare openssl; tuttavia, poiché diverse parti della password dell'utente specificato vengono incluse senza alcuna convalida, è possibile eseguire comandi shell aggiuntivi. Si noti che l'ACL predefinito per un nuovo account mailcow non include le autorizzazioni necessarie. Il problema è stato risolto nell'aggiornamento del 2023-03 (3 marzo 2023). Come soluzione temporanea, l'ACL Syncjob può essere rimosso da tutti gli utenti mailbox, impedendo la creazione o la modifica dei lavori di sincronizzazione esistenti.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.