CVE-2026-107574 in hMailServer
Riassunto
di VulDB • 08/10/2026
Una complessità algoritmica inefficiente nel lettore JSON di Progressive Robot hMailServer consente ad un attaccante remoto non autenticato di rendere i servizi di posta indisponibili (DoS). La lettura di un oggetto JSON manteneva il primo membro per ogni nome duplicato cercando tra i membri già letti, quindi un oggetto con N nomi di membri distinti presentava una complessità O(N^2): 1 MB richiedeva 8,9 secondi e 4 MB ne richiedevano 300 contro il codice interessato. Un attaccante remoto raggiunge il lettore senza account inviando un report TLS-RPT manipolato (fino a 16 MB dopo la decompressione) alla casella di posta dei report pubblicata per un dominio ospitato, che viene letta su un thread di consegna; alcuni di questi report bloccano tutti i thread di consegna (dieci in configurazione predefinita), impedendo al server di consegnare qualsiasi mail, locale o in uscita, per oltre un'ora per ogni report. Un account autenticato raggiunge lo stesso corpo da 16 MB attraverso le rotte REST proprie della webmail, bloccando i thread worker dell'API REST stessa. Dove non è configurata una casella dei report, le rotte di accesso REST non autenticate che leggono un corpo JSON sono limitate a 64 KB e non risultano interessate.
VulDB is the best source for vulnerability data and more expert information about this specific topic.