mailcow'daki footer şablonu açığı, domain adminlerinin paylaşılan rspamd container'ında kod çalıştırmasına izin veriyordu

Ne oldu

Kendi sunucunuzda barındırılan dockerize e-posta platformu mailcow için yayınlanan bir güvenlik duyurusu, bir domain yöneticisinin kendisine atanmış kiracı alanından çıkıp sunucudaki tüm domainlerin paylaştığı bir bileşende kod çalıştırmasına imkan veren bir açığı tarif ediyor. Sorun CVE-2026-125757 olarak takip ediliyor ve GHSA-jgr3-fv33-x43c numarasıyla GitHub'da duyuruldu. dev.to'da yayımlanan bir incelemeye göre mailcow: dockerized'ın 2026-11 öncesi sürümleri etkileniyor ve düzeltme 2026-11 sürümünde yer alıyor.

Güvenlik açığı barındıran özellik HTML kabul etse de bu durum cross-site scripting'in ötesine geçiyor: duyuru, açığı depolanmış sunucu tarafı şablon enjeksiyonu olarak sınıflandırıyor; yani payload sunucuda, kurbanın tarayıcısında değil, çalışıyor.

Bir footer nasıl kod çalıştırmaya dönüşür

Giriş noktası domain geneli footer. Bir domain yöneticisi bunu POST /api/v1/edit/domain/footer API uç noktasını çağırarak ayarlıyor ve duyuruya göre gönderilen değer aynen saklanıyor. Posta gönderilirken mailcow, footer'ı jinja/lupa şablon motoruyla işleyen rspamd'in MOO_FOOTER sürecine aktarıyor.

Footer'daki şablon sözdizimi edilgin metin olarak değil, değerlendirilerek işleniyor. Duyuru, özenle hazırlanmış bir makronun Lua'nın os.execute fonksiyonunu çağırabildiğini, ortaya çıkan kodun ise rspamd container'ının içinde çalıştığını açıklıyor. Bu işleme yolunu tetiklemek için domainden tek bir kimlik doğrulamalı giden ileti göndermek yeterli.

Sömürme eşiği düşük. Saldırganın bir domain yöneticisi hesabına ve o domainden gönderim yapabilme yetisine ihtiyacı var; duyuru, global yönetici rolü, host erişimi veya özel bir ağ konumu gerekmediğini vurguluyor.

Sonuçlar her kiracıya ulaşiyor

rspamd container'ı tüm dağıtımda paylaşıldığı için ele geçirme saldırganın kendi domainiyle sınırlı kalmıyor. Duyuruya göre çalıştırılan kod, aktarımdaki herhangi bir kiracının postasını okuyabilir, değiştirebilir veya buna içerik enjekte edebilir; bu iletilerde taşınan kimlik bilgilerini yakalayabilir; ayrıca tüm platform için spam ve antivirüs filtrelemesini kapatabilir. Kod, rspamd'in Redis bağlantısına da erişebiliyor.

İkinci aşama bir yol daha var: kod çalıştırma elde ettikten sonra saldırgan, MC_CHANNEL üzerinde bir mesaj yayımlayabilir; dockerapi abonesi bunu bir container yaşam döngüsü işlemine çevirerek platform geneli hizmet reddine giden bir yol açıyor. dev.to incelemesi, bunun giriş noktası değil kök sorunun footer işlenmesi olduğu bir aşağı akış sonuç olduğunu dikkatle belirtiyor.

Yamalama ve olay müdahalesi

Çözüm özetle basit: mailcow: dockerized 2026-11 veya sonrasına yükseltin, kötü niyetli veya gereksiz domain geneli footer'ları silin, API kimlik bilgilerini, posta kimlik bilgilerini ve rspamd container'ından erişilebilen tüm gizli bilgileri döndürün, hangi hesapların domain yöneticisi rolüne sahip olduğunu gözden geçirin.

Olay müdahalesi için operatörlere, rspamd container'ını ve dağıtım günlüklerini olağandışı alt süreçler, şaşırtıcı giden ağ bağlantıları ve container yeniden başlatmaları açısından taramaları tavsiye ediliyor. Güvenlik açığı barındıran sürüm çalışırken tarayıcıdan geçen postalar, ek inceleme olmadan güvenilir sayılmamalı. Operatörlere ayrıca, araştırmayı tek bir yöneticinin şifresini sıfırladıktan sonra kapatmamaları konusunda uyarı veriliyor; paylaşılan tarayıcıya erişimi olabilecek her domainin yöneticisi kontrol edilmesi gerekiyor.

Barındırılan mailcow dağıtımlarındaki kiracılara, sağlayıcılarına etkilenen bir sürümün çalışıp çalışmadığını ve domain yöneticisi hesaplarının üçüncü taraflara verilip verilmediğini sormaları; maruz kalma penceresi çevresindeki footer geçmişini, API token'larını ve giden posta günlüklerini denetlemeleri tavsiye ediliyor.

Neden önemli

Bu hata, çok kiracılı kendi sunucunda barındırılan yazılımların nasıl başarısız olduğunun ders kitabı örneği: tek bir kiracıya kapsamlı bir ayar, sessizce herkesin paylaştığı altyapıya akıyor ve bir şablon motoru, yapılandırma alanını keyfi kod çalıştırmaya dönüştürüyor. Operatörler için çıkarım bu tek yamanın ötesine geçiyor: bir şablon motoruna veya shell benzeri bir arayüze ulaşan her kiracı kontrollü alanı denetleyin, şablonları kimin ne zaman değiştirdiğini günlüğe kaydedin, tarayıcı yeniden başlatmalarına ve beklenmeyen alt süreçlere karşı uyarı kurun. Paylaşımlı altyapıda posta çalıştıran herkes için bu, yanlış yazılımda bir sağlayıcının domain yöneticisi rolünün e-posta platformunun tam kontrolü anlamına gelebileceğinin bir hatırlatıcısı.