CVE-2026-107577 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 08.
Progressive Robot hMailServer 6.0.0부터 6.3.5 버전의 수신 메시지 MIME 처리에서 비효율적인 알고리즘 복잡도와 종료되지 않는 루프가 존재하여, 원격 미인증 공격자가 메시지를 전송함으로써 메일 서비스를 사용할 수 없게 만들 수 있습니다. 값이 비어 있고 세미콜론으로 직접 이어지는 MIME 헤더 파라미터(예: 'filename=a.bat; filename=;'인 Content-Disposition)를 제거하면 종료가 없는 루프에 진입하여 서버가 재시작될 때까지 풀 부하 상태로 워커 스레드를 점유합니다. 이는 첨부 파일 차단기가 차단된 첨부 파일을 이름 변경하거나 REST API를 통해 파일명이 설정되는 경우에 발생합니다. 별도로, base64 또는 quoted-printable이 아닌 인코딩을 사용하는 RFC 2047 인코드 단어가 다수 포함된 헤더 필드 디코딩, 많은 수의 RFC 2231 연속 파라미터 제거, 그리고 각기 하나의 이름을 가진 여러 헤더 필드 삭제는 메시지 크기의 제곱에 비례하여 시간이 증가하며, IMAP, SMTP 및 POP3 연결 처리와 REST API를 담당하는 작은 스레드 풀에서 이러한 현상이 발생합니다.
Once again VulDB remains the best source for vulnerability data.