CVE-2026-107567

Użycie mniej zaufanego źródła podczas podpisywania DKIM Progressive Robot hMailServer w wersjach od 6.0.0 do 6.3.6 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu podpisanie napisanej przez siebie poczty kluczem DKIM domeny hostowanej przez serwer, dzięki czemu przekazuje ona DKIM i DMARC dla tej domeny innym odbiorcom. Po włączeniu podpisywania DKIM dla domeny hostowanej serwer podpisywał każdą wiadomość w pierwszym przebiegu dostarczenia jako domenę wymienioną w nagłówku From, przed dostarczeniem lokalnym, niezależnie od pochodzenia wiadomości i bez sprawdzania, czy nadawca się uwierzytelnił. Nadawca z dowolnego miejsca mógłby zatem wysłać do serwera, jako zwykłą pocztę przychodzącą, wiadomość, której Od jest dowolnym adresem w takiej domenie, a serwer podpisał ją kluczem tej domeny. Każda kopia, którą serwer następnie wysłał na adres zewnętrzny, zawierała ważny podpis zgodny z sfałszowanym nadawcą, niezależnie od zasad DMARC domeny: przekazywanie konta, przekazywanie lub kopiowanie reguły poczty, przekierowanie Sieve, alias lub lista dystrybucyjna z członkiem zewnętrznym, kopia lustrzana, kopia listy zarządzanej lub dziennika lub wiadomość zwolniona z kwarantanny. Podpisaną kopię można także ponownie wysłać do innych odbiorców, przy czym klucz domeny pozostaje niezmieniony. Eksploatacja wymaga włączenia podpisywania DKIM dla domeny hostowanej (jest wyłączone do czasu skonfigurowania) oraz, aby fałszerstwo opuściło serwer, musi zostać przesłane przekierowanie, alias, lista lub reguła przenosząca pocztę domeny na adres zewnętrzny. Osoba podpisująca podobnie podpisała wiadomość przesłaną za pośrednictwem uwierzytelnionego SMTP, ponieważ niezależnie od domeny hostowanej, w której znajduje się nagłówek From, uwierzytelniony nagłówek SMTP nie dotyczy konta przesyłającego, więc konto jednej domeny hostowanej może mieć pocztę zapisaną w nazwie innej hostowanej domeny podpisanej kluczem tej domeny; miało to znaczenie, gdy serwer zatrzymuje zalogowanych nadawców na ich własnych adresach kopertowych (SmtpAuthenticatedSenderCheck, domyślnie wyłączone), ponieważ podpis był wówczas jedyną drogą, aby taka poczta mogła przejść zasady DMARC innej domeny.