mailcow 2026-11 sürümü kritik açığı kapattı; domain admin, paylaşılan rspamd konteynerinde komut çalıştırabiliyordu
mailcow: dockerized'in 2026-11 sürümü, domain admin yetkisindeki bir kullanıcının domain-wide footer alanı üzerinden paylaşılan rspamd konteynerinde komut çalıştırmasına yol açan CVE-2026-125757'yi (CVSS 9.1) kapattı. Ayrıntılar 10 Kasım'da yayımlandı; istismar bildirilmedi.
CVE-2026-125757
Açık kaynak e-posta sunucusu paketi mailcow: dockerized, 5 Kasım'da 2026-11 ("Moovember 2026") sürümünü "önemli güvenlik güncellemesi" uyarısıyla yayımlamıştı. Proje, açıkların ayrıntılarını 10 Kasım'da GitHub güvenlik bildirimleriyle paylaştı. En ciddi açık CVE-2026-125757 (GHSA-jgr3-fv33-x43c, CVSS 9.1). Domain admin yetkisine sahip bir kullanıcı, domain-wide footer alanına kaydettiği içerikle rspamd'nin footer işleyicisinde server-side template injection (SSTI) tetikleyebiliyordu. Sonuç, tüm tenant'ların paylaştığı rspamd konteynerinde komut çalıştırmaydı.
Bu açığı kritik yapan, multi-tenant kurulumlardaki etkisi. Bildirime göre tek bir domain'in yöneticisi, aynı sunucudaki diğer tüm tenant'ların e-postasını okuyabilir, e-posta enjekte edebilir ve spam filtrelemesini kapatabilir. Barındırma firmaları ve müşterilerine domain admin hesabı veren kurumlar doğrudan risk altında. Aynı gün yayımlanan diğer bildirimler de 2026-11 sürümünde düzeltildi. GHSA-rpvp-3pw9-3vcw (7.4) başarısız ActiveSync, DAV ve autodiscover girişlerinin 127.0.0.1 sayılıp hiç engellenmemesini ve parolasız autodiscover ile posta kutusu varlığının öğrenilebilmesini; GHSA-xvvm-8287-x8f9 (6.8) ise parola bilinirken TOTP 2FA kodunun brute-force ile denenebilmesini kapsıyor. Proje istismar bildirmedi; CISA KEV kaydı yok.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| mailcow: dockerized (CVE-2026-125757, SSTI → RCE) | 2026-11 öncesi | 2026-11 |
| mailcow: dockerized (GHSA-rpvp-3pw9-3vcw, GHSA-xvvm-8287-x8f9 ve diğer 10 Kasım bildirimleri) | 2026-11 öncesi | 2026-11 |
| mailcow: dockerized (Temmuz bildirimleri: stored XSS, SMTP command injection vb.) | 2026-07a öncesi | 2026-07a |
Beni etkiliyor mu?
mailcow sürümleri tarih etiketiyle (2026-07a, 2026-11 gibi) adlandırılıyor. Kurulu sürüm etiketini kurulum dizininin (genellikle /opt/mailcow-dockerized) git geçmişinden görebilirsiniz. Sunucuda çalışan mailcow konteynerlerini salt okunur listelemek için:
docker ps --filter "name=mailcow"Sürüm 2026-11'den eskiyse etkileniyorsunuz. Ayrıca domain admin hesabı verdiğiniz müşteri ya da ekip olup olmadığını yönetim arayüzündeki domain admin listesinden kontrol edin.
Ne yapılmalı?
- mailcow'u 2026-11 sürümüne güncelleyin. Güncellemeden önce yedek alın ve sürüm notlarındaki breaking changes bölümünü okuyun (sync job API ve 64 MB istek gövdesi sınırı değişti).
- Güncelleme yapılana kadar proje şu workaround'u öneriyor: admin ve domain admin hesaplarına erişimi kısıtlayın. Güvenilmeyen kişilerin domain admin hesaplarını geçici olarak askıya almayı değerlendirin.
- Domain-wide footer alanlarını yönetim arayüzünden gözden geçirin; beklenmeyen şablon ifadeleri içeren footer'lar inceleme gerektirir.
- rspamd geçmişinde ve konteyner loglarında olağandışı süreç ya da filtreleme kapanması izleri olup olmadığını kontrol edin.
- ActiveSync, DAV ve autodiscover uçları internete açıksa, güncellemeden sonra başarısız giriş engellemesinin çalıştığını izleme panelinizden doğrulayın.
