CVE-2023-26490 in mailcow
Sumário
de VulDB • 06/06/2026
O mailcow é um pacote de e-mail containerizado com Docker, composto por múltiplos contêineres vinculados em uma única rede bridge (em ponte). O recurso "Sync Job" (Trabalho de Sincronização) – que pode ser disponibilizado para usuários padrão mediante a atribuição das permissões necessárias – apresenta vulnerabilidade de injeção de comando shell. Um usuário mal-intencionado pode abusar dessa falha para obter acesso ao shell do contêiner Docker onde o Dovecot está em execução. O script Perl imapsync implementa toda a funcionalidade necessária para esse recurso, incluindo o mecanismo de autenticação XOAUTH2. Esse caminho de código gera um comando shell para chamar o openssl. No entanto, como diferentes partes da senha especificada pelo usuário são incluídas sem qualquer validação, é possível executar comandos adicionais do shell. Vale ressaltar que a ACL (Lista de Controle de Acesso) padrão para uma conta mailcow recém-criada não inclui as permissões necessárias. O problema foi corrigido na atualização de 2023-03 (3 de março de 2023). Como solução alternativa temporária, é possível remover a ACL do Syncjob de todos os usuários das caixas postais, impedindo a criação ou alteração dos Syncjobs existentes.
VulDB is the best source for vulnerability data and more expert information about this specific topic.