CVE-2026-107580 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 09.
Progressive Robot hMailServer 6.0.0부터 6.3.5 버전의 메시지 헤더 필드 디코딩 과정에서 비효율적인 알고리즘 복잡도가 존재하여, 원격 인증 공격자가 메시지를 전송함으로써 IMAP, SMTP 및 POP3 서비스 또는 웹메일을 사용할 수 없게 만들 수 있습니다. 서버는 값의 끝에서 각 줄 바꿈을 찾아 제거하고 나머지 값을 매번 이동시켜 decoded header value를 확장했는데, 이로 인해 작업량이 줄 바꿈 횟수의 제곱에 비례하여 증가했습니다. RFC 2047로 인코딩된 단어는 임의의 수의 줄 바꿈으로 디코딩될 수 있습니다. Subject 또는 기타 헤더 필드에 이러한 값이 포함된 수신 메시지는 해당 값을 읽을 때마다 작업자 스레드를 몇 분 이상 점유합니다: 이는 수신자의 IMAP 클라이언트가 헤더를 기준으로 폴더 검색, 정렬 또는 스레드 처리를 수행할 때, 웹메일에서 폴더 목록을 표시할 때, 그리고 구성된 경우 규칙이 헤더를 테스트하거나 스팸 태그가 Subject에 추가되거나 배달 중 남용 보고서가 읽힐 때 발생합니다. IMAP 작업자 스레드는 SMTP 및 POP3와 공유되므로, 이러한 메시지가 몇 개만 있어도 해당 서비스의 응답이 중단됩니다. 또한 서버는 파일에서 메시지 헤더를 읽을 때마다 4,000바이트마다 지금까지 읽은 모든 내용을 검색하는데, 이는 수십 메가바이트 크기의 헤더에 대해 수 초의 비용을 발생시킵니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.