CVE-2026-104658
Açıklama
Progressive Robot hMailServer 6.3.4 ve 6.3.5 sürümlerinin Linux canlı güncelleme uygulama yardımcısı (hmailserver-update), ayrıcalıksız hmailserver servis hesabı tarafından yazılan bir istek dosyası üzerinden root olarak çalışmakta; bu istekten, servis hesabının dosyalarını okumadan önce bir AppImage güncellemesinin imzasını doğrulamak için kullanılan programı ve durdurulacak olan systemd ünitesini almaktadır. Halihazırda hmailserver servis hesabı olarak kod çalıştıran bir saldırgan (örneğin posta sunucusundaki başka bir açık aracılığıyla), canlı güncellemenin yol ünitesinin aktif olduğu tüm Linux kurulumlarında -projenin .deb ve .rpm paketleri için varsayılandır- ve bu ünite altında çalışan AppImage kurulumlarında, root yetkileriyle rastgele kod çalıştırabilir.
Nasıl düzeltilir
- Progressive Robot Ltd hMailServer6.3.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Progressive Robot Ltd hMailServer | 6.3.4 ≤ v < 6.3.6 | 6.3.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.