CVE-2022-31138
OS कमांड इंजेक्शन mailcow में
- प्रकाशित
- 11 जुल॰ 2022
- अद्यतन
- 22 अप्रैल 2025
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 88.2%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
mailcow एक मेलसर्वर सुइट है। mailcow-dockerized संस्करण 2022-06a से पहले, कस्टम पैरामीटर regexmess, skipmess, regexflag, delete2foldersonly, delete2foldersbutnot, regextrans2, pipemess, या maxlinelengthcmd में हेरफेर करके एक विस्तारित विशेषाधिकार भेद्यता का शोषण किया जा सकता है, जिससे मनमाना कोड निष्पादित किया जा सकता है। उपयोगकर्ताओं को इस मुद्दे के लिए पैच प्राप्त करने हेतु mailcow रूट निर्देशिका में `update.sh` स्क्रिप्ट के साथ अपने mailcow इंस्टेंस को 2022-06a या नए संस्करण में अपडेट करना चाहिए। अस्थायी समाधान के रूप में, सभी मेलबॉक्स उपयोगकर्ताओं से Syncjob ACL हटाया जा सकता है, जिससे उन सेटिंग्स में परिवर्तन रोका जा सके।
स्रोत
- Mailcow-CVE-2022-31138एक्सप्लॉइट
Mailcow CVE-2022-31138 के लिए प्रूफ-ऑफ-कॉन्सेप्ट शोषण, जो सिंक जॉब रेगेक्स फ़ील्ड्स में पर्ल कोड इंजेक्शन के माध्यम से RCE सक्षम करता है, और डोमेन एडमिन तक विशेषाधिकार वृद्धि करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।