CVE-2023-51764
Postfix hasta 3.8.4 permite el contrabando SMTP a menos que se configure con smtpd_data_restrictions=reject_unauth_pipelining (u otras opciones que existen...
- Publicado
- 24 dic 2023
- Actualizado
- 4 nov 2025
- Asignación de CNA
- mitre
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:NBajo · próximos 30 días
- Percentil
- 84,8 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Postfix hasta 3.8.4 permite el contrabando SMTP a menos que se configure con smtpd_data_restrictions=reject_unauth_pipelining (u otras opciones que existen en versiones recientes). Los atacantes remotos pueden utilizar una técnica de explotación publicada para inyectar mensajes de correo electrónico que parecen originarse en el servidor Postfix, lo que permite omitir un mecanismo de protección SPF. Esto ocurre porque Postfix admite . pero algunos otros servidores de correo electrónico populares no lo hacen. Para evitar variantes de ataque (al no permitir siempre sin ), se requiere una solución diferente: la opción smtpd_forbid_bare_newline=yes con una versión mínima de Postfix de 3.5.23, 3.6.13, 3.7.9, 3.8.4, o 3.9.
Fuentes
4Prueba de concepto del exploit para CVE-2023-51764, incluye soporte de autenticación SMTP, probado en Kali Linux.
Contrabando SMTP en Postfix - Script Expect POC
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.