Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-42007 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-08-28 |
| Producent | Open-Xchange |
| Produkt | Dovecot (Pigeonhole / Sieve) |
| CVSS Score | 9.1 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD / Open-Xchange (oxdc-adv-2026-0003)
Atakujący dysponujący ważnymi poświadczeniami może użyć skryptu Sieve z rozszerzeniem editheader, aby wywołać błąd use-after-free w kodzie edycji wiadomości i zapisać zawartość pamięci poza przewidzianym buforem do dostarczanej wiadomości.
Skutki są dwojakie:
- wyciek pamięci — fragmenty pamięci procesu dostarczania trafiają do treści maila. Proces ten obsługuje pocztę wielu użytkowników, więc wyciekające dane mogą pochodzić z cudzej korespondencji,
- naruszenie pamięci podczas dostarczania — może doprowadzić do awarii procesu dostarczania, a potencjalnie do wykonania dowolnego kodu w jego kontekście.
Wymóg posiadania poświadczeń obniża próg wejścia mniej, niż mogłoby się wydawać: w środowisku pocztowym poświadczenia użytkownika zdobywa się phishingiem, a skrypty Sieve użytkownik może zwykle definiować samodzielnie przez webmail. Wystarczy więc jedno przejęte konto pracownika.
Wymagane działania
Producent wskazuje dwie ścieżki:
- Wyłącz rozszerzenie Sieve
editheader— to natychmiastowy środek zaradczy, dostępny bez okna serwisowego. Zweryfikuj wcześniej, czy któryś z filtrów użytkowników go używa. - Zaktualizuj Dovecot do wersji wolnej od podatności, zgodnie z biuletynem Open-Xchange.
Producent zaznacza, że nie są znane inne środki zaradcze — samo ograniczenie sieciowe nie pomoże, bo atak wychodzi od uwierzytelnionego użytkownika.
Kogo dotyczy?
Podatność dotyczy serwerów Dovecot z zainstalowanym Pigeonhole i włączonym rozszerzeniem Sieve editheader.
Dovecot to najczęściej używany serwer IMAP na świecie i podstawa większości wdrożeń poczty utrzymywanej samodzielnie. W Polsce dotyczy to firm hostingowych, operatorów, uczelni, jednostek administracji publicznej oraz wszystkich organizacji, które nie przeniosły poczty do Microsoft 365 lub Google Workspace — a takich, ze względu na wymogi dotyczące lokalizacji danych, wciąż jest sporo w sektorze publicznym i finansowym.
Skrypty Sieve są w takich wdrożeniach standardem, bo obsługują reguły filtrowania i autoodpowiedzi. Warto sprawdzić, czy editheader jest w ogóle potrzebny — bywa włączony domyślnie mimo braku zastosowania.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
