CVE-2022-31138
Injection de commandes système dans mailcow
- Publié
- 11 juil. 2022
- Mise à jour
- 22 avr. 2025
- Attribution de CNA
- GitHub_M
- Preuve observée
- 8 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 88,2 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
mailcow est une suite de serveur de messagerie. Avant la version 2022-06a de mailcow-dockerized, une vulnérabilité de privilèges étendus peut être exploitée en manipulant les paramètres personnalisés regexmess, skipmess, regexflag, delete2foldersonly, delete2foldersbutnot, regextrans2, pipemess, ou maxlinelengthcmd pour exécuter du code arbitraire. Les utilisateurs doivent mettre à jour leurs instances mailcow avec le script `update.sh` dans le répertoire racine de mailcow vers la version 2022-06a ou une version plus récente pour recevoir un correctif pour ce problème. Comme solution de contournement temporaire, l'ACL Syncjob peut être supprimée de tous les utilisateurs de boîtes mail, empêchant ainsi les modifications de ces paramètres.
Sources
- Mailcow-CVE-2022-31138Exploit
Exploit de preuve de concept pour Mailcow CVE-2022-31138 permettant RCE via une injection de code perl dans les champs regex des tâches de synchronisation, avec élévation de privilèges à Domain Admin.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.