CVE-2023-51764
Postfix hasta 3.8.4 permite el contrabando SMTP a menos que se configure con smtpd_data_restrictions=reject_unauth_pipelining (u otras opciones que existen...
- Publicado
- 24 dic 2023
- Actualizado
- 8 oct 2026
- Asignación de CNA
- mitre
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:NBajo · próximos 30 días
- Percentil
- 85,3 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Postfix hasta 3.8.4 permite el contrabando SMTP a menos que se configure con smtpd_data_restrictions=reject_unauth_pipelining (u otras opciones que existen en versiones recientes). Los atacantes remotos pueden utilizar una técnica de explotación publicada para inyectar mensajes de correo electrónico que parecen originarse en el servidor Postfix, lo que permite omitir un mecanismo de protección SPF. Esto ocurre porque Postfix admite . pero algunos otros servidores de correo electrónico populares no lo hacen. Para evitar variantes de ataque (al no permitir siempre sin ), se requiere una solución diferente: la opción smtpd_forbid_bare_newline=yes con una versión mínima de Postfix de 3.5.23, 3.6.13, 3.7.9, 3.8.4, o 3.9.
Fuentes
Prueba de concepto del exploit para CVE-2023-51764, incluye soporte de autenticación SMTP, probado en Kali Linux.
Exploit de prueba de concepto para la vulnerabilidad de contrabando SMTP CVE-2023-51764 en Postfix, que permite la suplantación de correo electrónico y la inyección de mensajes a través de sesiones SMTP manipuladas.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.