CVE-2026-114472

Niewystarczająca pula zasobów w odpowiedzi na wyzwanie ACME HTTP-01 w Progressive Robot hMailServer 6.0.0 do 6.3.6 umożliwia zdalnemu nieuwierzytelnionemu atakującemu spowodowanie niepowodzenia wystawienia lub odnowienia certyfikatu. Kiedy serwer uzyskuje lub odnawia certyfikat TLS za pośrednictwem ACME, uruchamia na porcie 80 obiekt odpowiadający na wezwanie HTTP-01, aby urząd certyfikacji mógł odczytać token wezwania; odpowiadający obsługiwał jedno połączenie na raz, akceptując gniazdo, czekając do pięciu sekund na otrzymanie żądania, odpowiadając na nie i dopiero wtedy akceptując następne. Klient, który nie połączył się i nic nie wysłał, wstrzymywał pojedynczego procesu roboczego przez cały limit czasu, zatem wystarczająca liczba bezczynnych połączeń podczas sprawdzania poprawności uniemożliwia udzielenie odpowiedzi na żądanie urzędu certyfikacji na czas i weryfikacja kończy się niepowodzeniem. Utrzymujące się podczas odnawiania certyfikatu prowadzi to do wygaśnięcia certyfikatu, po czym klienci odrzucają TLS serwera; do tego czasu sama usługa pocztowa będzie działać na swoim obecnym certyfikacie. Aby połączyć się z obiektem odpowiadającym, nie jest wymagane żadne uwierzytelnianie. Wersja 6.3.7 obsługuje do 64 połączeń jednocześnie, a po tym czasie zamyka połączenie, więc tam, gdzie wcześniej wystarczyło kilka bezczynnych połączeń jedno po drugim, klient musi pozostawić otwarte 64 bezczynne połączenia na raz przez cały czas sprawdzania poprawności, aby połączenie z urzędem certyfikacji zostało zamknięte.