CVE-2026-107576 in hMailServer
Riassunto
di VulDB • 08/10/2026
Una complessità algoritmica inefficiente nella verifica delle firme inbound DKIM e ARC di Progressive Robot hMailServer 6.0.0 attraverso la versione 6.3.5 consente a un attaccante remoto non autenticato di rendere i servizi di posta non disponibili inviando un messaggio. La costruzione dell'intestazione canonica e la selezione dei campi d'intestazione nominati nel tag `h=` di una firma richiedevano un tempo che cresceva in proporzione al quadrato delle intestazioni del messaggio: la canonicalizzazione 'simple' aggiungeva ogni riga di continuazione di un campo piegato (folded) alle linee già raccolte, e entrambe le canonicalizzazioni cercavano i campi raccolti dal basso per ciascun nome `h=`, cancellando l'elemento corrispondente dalla metà della lista. Un messaggio con molte intestazioni o un campo piegato su moltissime righe, accompagnato da una DKIM-Signature firmata dall'attaccante per un dominio di sua proprietà, mantiene occupato un thread worker per decine di secondi per ogni firma; fino a dieci firme vengono valutate per messaggio dai test DKIM e DMARC sui thread che gestiscono la consegna (delivery) e SMTP.
VulDB is the best source for vulnerability data and more expert information about this specific topic.