CVE-2026-104659 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 08.
Progressive Robot hMailServer 6.0.0부터 6.3.5 버전의 REST API 리스너에서 Host 헤더 검증 누락 및 실패한 관리자 로그인에 대한 속도 제한(throttling) 부재로 인해, 원격 공격자가 DNS rebinding을 통해 서버 관리자의 비밀번호를 브루트 포스할 수 있습니다. 기본적으로 비활성화되어 있고 활성화 시 루프백(loopback)에만 바인딩되는 이 리스너는 Host 헤더의 값에 관계없이 모든 요청에 응답하며, 루프백으로부터 수행된 실패한 관리자 로그인 시도에는 자동 차단(auto-banning)이나 지연(delaying) 조치가 적용되지 않았습니다. 따라서 공격자가 127.0.1로 DNS rebinding을 재할당한 웹 페이지를 서버의 브라우저에서 열면, 해당 리스너에 인증된 요청을 보내고 응답을 읽으며 하나의 비밀번호가 승인될 때까지 최대 속도로 관리자 비밀번호를 시도하여 최종적으로 메일 서버에 대한 전체 관리 권한(administrative control)을 획득할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.