CVE-2020-7247
Vulnérabilité d'exécution de code à distance dans OpenSMTPD
- Publié
- 29 janv. 2020
- Mise à jour
- 21 oct. 2025
- Attribution de CNA
- mitre
- Preuve observée
- 30 janv. 2020
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HÉlevé · 30 prochains jours
- Percentile
- 99,9 %
- Date du modèle
- 16 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
CISA Connu Exploité
Ce CVE apparaît dans le catalogue des vulnérabilités exploitées connues de CISA.
Résumé
`smtp_mailaddr` dans `smtp_session.c` d'OpenSMTPD 6.6, utilisé dans OpenBSD 6.6 et d'autres produits, permet à des attaquants distants d'exécuter des commandes arbitraires en tant que root via une session SMTP conçue à cet effet, comme le démontrent les métacaractères de shell dans un champ `MAIL FROM`. Cela affecte la configuration par défaut « non commentée ». Le problème existe en raison d'une valeur de retour incorrecte lors de l'échec de la validation des entrées.
Sources
- OpenSMTPD Remote Command ExecutionLaboratoire
opensmtpd/CVE-2020-7247
OpenSMTPD Remote Code Execution Vulnerability (CVE-2020-7247)
Vulhub vulnerability labsConditions déclarées
- lab image version: vulhub/opensmtpd:6.6.1p1(opensmtpd/CVE-2020-7247/docker-compose.yml:services.smtpd.image)
modules/exploits/unix/smtp/opensmtpd_mail_from_rce.rb
Metasploit Framework modulesConditions déclarées
- platform: Unix($.exploit_unix/smtp/opensmtpd_mail_from_rce.platform)
- verification: check_declared($.exploit_unix/smtp/opensmtpd_mail_from_rce.check)
javascript/cves/2020/CVE-2020-7247.yaml
Nuclei TemplatesConditions déclarées
- verification: dsl,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.