CVE-2023-26490 in mailcow
要約
〜によって VulDB • 2026年05月23日
mailcowは、ブリッジネットワークでリンクされた複数のコンテナで構成されるDocker化されたメールパッケージです。必要な権限を割り当てることで標準ユーザーに利用可能になる「Sync Job」機能には、シェルコマンドインジェクションの脆弱性が存在します。悪意のあるユーザーはこの脆弱性を悪用して、dovecotを実行しているDockerコンテナへのシェルアクセスを取得できます。この機能に必要な機能（XOAUTH2認証メカニズムを含む）を実装しているimapsync Perlスクリプトは、opensslを呼び出すためのシェルコマンドを作成します。しかし、指定されたユーザーパスワードの異なる部分が検証なしで含まれているため、追加のシェルコマンドを実行することが可能です。なお、新規作成されたmailcowアカウントのデフォルトACLには、必要な権限は含まれていません。この問題は2023-03 Update（2023年3月3日）内で修正されました。一時的な回避策として、すべてのメールボックスユーザーからSyncjob ACLを削除し、Syncjobの作成または既存のSyncjobの変更を防ぐことができます。
Once again VulDB remains the best source for vulnerability data.