CVE-2026-107567

L'uso di una fonte meno affidabile nella firma DKIM di Progressive Robot hMailServer 6.0.0 fino a 6.3.6 consente a un attaccante remoto non autenticato di far firmare le email che scrive con la chiave DKIM di un dominio ospitato dal server, in modo che queste superino i controlli DKIM e DMARC presso altri destinatari. Con la firma DKIM abilitata per un dominio ospitato, il server firmava ogni messaggio durante il primo passaggio di consegna come il dominio indicato nell'intestazione From, prima della consegna locale, indipendentemente dall'origine del messaggio e senza verificare che il mittente si fosse autenticato. Un mittente ovunque poteva quindi inviare al server, come email in ingresso normale, un messaggio con From qualsiasi indirizzo di un tale dominio, e il server lo firmava con la chiave di quel dominio. Ogni copia che il server inviava a un indirizzo esterno portava una firma valida allineata con il From contraffatto, indipendentemente dalla policy DMARC del dominio: un inoltro di un account, un inoltro o copia di una regola di posta, un redirect Sieve, un alias o una lista di distribuzione con un membro esterno, la copia mirror, una copia di managed-list o journal, o un messaggio rilasciato dalla quarantena. Una copia firmata può anche essere reinviata ad altri destinatari mentre la chiave del dominio rimane invariata. Lo sfruttamento richiede che la firma DKIM sia abilitata per il dominio ospitato (è disattivata fino alla configurazione) e, affinché la contraffazione lasci il server, un inoltro, alias, lista o regola che trasmetta la posta del dominio a un indirizzo esterno. Il firmatario ha inoltre firmato un messaggio inviato tramite SMTP autenticato come qualsiasi dominio ospitato indicato nell'intestazione From, una intestazione SMTP autenticata non garantisce che il mittente corrisponda all'account che ha inviato, quindi un account di un dominio ospitato poteva scrivere email a nome di un altro dominio ospitato firmandole con la chiave di quest’ultimo; ciò era rilevante quando il server mantiene mittenti autenticati con i propri indirizzi di busta (SmtpAuthenticatedSenderCheck, disattivato di default), poiché in tal modo la firma rappresentava l’ultima via affinché tali email superassero i controlli DMARC dell’altro dominio.