CVE-2026-104704 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 08.
Progressive Robot hMailServer 6.0.0부터 6.3.5까지의 버전은 DNSSEC로 검증된 TLSA 레코드에 DANE-EE(usage 3) 레코드가 포함되어 있지 않은 경우, RFC 7672 섹션 2.2와 달리 아웃바운드 SMTP 전송 시 TLS를 강제하지 않습니다. 해당 서버는 오직 DANE-EE 레코드만 사용하며, DANE-TA(usage 2) 또는 기타 사용할 수 없는 레코드로 구성된 검증된 TLSA 레코드 세트를 게시된 레코드가 없는 것으로 간주하여, 이러한 호스트로의 전송은 기회주의적 TLS(Opportunistic TLS)로 폴백됩니다. 서버와 수신자 메일 교환기 사이의 네트워크 경로 상에서 능동적인 위치(Man-in-the-Middle)를 점령한 공격자는 STARTTLS 협상을 억제하거나 중단시켜 메시지가 평문으로 전달되도록 할 수 있으며, 이로 인해 메시지 내용이 읽히거나 변조될 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.