mailcow: dockerized
mailcow: dockerized, esecuzione di comandi nel container rspamd tramite il footer di dominio
Il problema, secondo i dati ufficiali
- In mailcow: dockerized c'è una vulnerabilità di server-side template injection: salvando un footer malevolo valido per tutto il dominio, si possono eseguire comandi nel container rspamd condiviso. Si inserisce una macro Jinja con un valore predefinito os.execute, che viene elaborata dal prefiltro MOO_FOOTER di rspamd.
- Può sfruttarla un amministratore di dominio, via rete, quindi anche da internet se il servizio è esposto.
- Chi la sfrutta può leggere o inserire posta di tutti i tenant e disattivare il filtraggio.
- Secondo la CISA esiste già un exploit dimostrativo pubblico.
Cosa fare
- Aggiorna mailcow: dockerized alla versione 2026-11 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- mailcow: dockerized: prima della 2026-11
Fonti ufficiali
- github.com — avviso del produttore
- github.com — patch
- github.com — note di rilascio
- github.com — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
mailcow: dockerized before 2026-11 contains a server-side template injection vulnerability that allows domain administrators to execute commands in the shared rspamd container by storing a malicious domain-wide footer. Attackers can embed a Jinja macro with an os.execute default value, rendered by the rspamd MOO_FOOTER prefilter, to read or inject mail for every tenant and disable filtering.
Non sai se ti riguarda?
Se usi mailcow: dockerized e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 10 novembre 2026. Prima di intervenire verifica l'avviso del produttore.