CVE-2026-114471 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 21.
Progressive Robot hMailServer 6.0.0부터 6.3.6 버전의 SMTP 서버에서 로그 파일로 민감한 정보가 삽입되는 취약점으로, 서버의 로그를 읽을 수 있는 로컬 사용자나 해당 로그 사본을 제공받은 누구나 자격 증명을 획득할 수 있습니다. SMTP 로깅이 활성화된 경우, 서버는 AUTH PLAIN 명령문의 자격 증명 중 EHLO 이후에 정확히 하나의 형식으로 전송된 것만 숨기고, SASL 교환의 나머지 부분은 클라이언트가 보낸 그대로 기록했습니다: EHLO 이전에 전송되거나 추가 공백이 있는 PLAIN 비밀번호(6.2.0부터), AUTH XOAUTH2 및 AUTH OAUTHBEARER(OAuth 2.0 bearer token) (6.2.0부터), SCRAM-SHA-256 클라이언트 증명(6.2.0부터, 로깅된 소금(salt)과 반복 횟수와 함께 오프라인 비밀번호 추측을 가능하게 함), 그리고 GSSAPI 인증자(6.3.2부터). SMTP 로깅은 기본적으로 비활성화되어 있으며, 6.3.6 이전의 Windows에서는 로그 폴더가 모든 로컬 사용자에게 읽기 권한으로 공개되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.