CVE-2026-114472 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 21.
ACME HTTP-01 챌린지 응답자의 불충분한 리소스 풀로 인해 Progressive Robot hMailServer 6.0.0부터 6.3.6까지의 버전에서 원격 비인증 공격자가 인증서 발급 또는 갱신 실패를 유발할 수 있습니다. 서버가 ACME를 통해 TLS 인증서를 획득하거나 갱신할 때, 인증 기관이 챌린지 토큰을 읽을 수 있도록 포트 80에서 HTTP-01 챌린지 응답자를 실행합니다. 이 응답자는 한 번에 하나의 연결만 처리하며, 소켓을 수신하고 최대 5초 동안 요청을 기다렸다가 응답한 후 다음 연결을 허용하는 방식으로 동작합니다. 아무것도 전송하지 않고 연결된 클라이언트는 전체 타임아웃 동안 단일 워커를 점유하므로, 유효성 검사 중 충분한 수의 대기 상태(idle) 연결이 발생하면 인증 기관 자체의 요청에 제시간에 응답할 수 없어 검증이 실패하게 됩니다. 이러한 현상이 인증서 갱신 기간 전반에 걸쳐 지속되면 인증서가 만료되고, 이후 클라이언트는 서버의 TLS를 거부합니다. 메일 서비스 자체는 그 시점까지 현재 사용 중인 인증서를 계속 사용합니다. 응답자에 연결하려면 인증이 필요하지 않습니다. 버전 6.3.7에서는 최대 64개의 동시 연결을 처리하며 이를 초과하는 연결은 종료되므로, 이전에는 몇몇의 대기 상태 연결이 연속적으로 발생하면 충분했지만, 이제 클라이언트는 유효성 검사 전체 기간 동안 동시에 64개의 대기 상태 연결을 유지해야 인증 기관의 연결이 종료됩니다.
Be aware that VulDB is the high quality source for vulnerability data.