rspamd 4.1.4 behebt kritischen Authentifizierungs-Bypass im Controller

Ein fehlerhafter Passwort-Hash im rspamd-Controller ließ jedes Passwort durch — 4.1.4 schließt die Lücke. Dazu kommen Regexp-Speicherlecks, ein CSS-Tokeniser-Stack-Overflow und ein Startup-Segfault.

Das rspamd-Projekt hat Version 4.1.4 veröffentlicht. Am schwersten wiegt ein als kritisch eingestufter Fix im Controller: War der gespeicherte Passwort-Hash fehlerhaft formatiert, akzeptierte rspamd jedes beliebige Passwort. Betroffen ist die WebUI und jeder andere Zugang, der über den Controller authentifiziert — ein Angreifer brauchte nur Netzwerkzugang zum Controller-Port.

Darüber hinaus behebt 4.1.4 mehrere Speicher- und Stabilitätsprobleme in der Regexp-Engine: Ein PCRE2-Match-Data-Leak bei ungültiger UTF-Eingabe, unbegrenzter Heap-Verbrauch durch einzelne Matches, eine Endlosschleife in re:matchn() bei leeren Treffern und ein Over-Read bei der ID-Generierung begrenzter Patterns. Im CSS-Tokeniser führten viele aufeinanderfolgende Kommentare zu einem Stack-Overflow — der Tokeniser verarbeitet sie jetzt iterativ statt rekursiv.

Ein weiterer Startup-Fix betrifft Installationen mit jemalloc: GLib-Allokationen im actrie-Modul wurden bisher mit der falschen Freigabefunktion aufgerufen, was beim Start zu einem Segfault führen konnte. Außerdem verlinkt rspamd ab 4.1.4 grundsätzlich eine einzelne gemeinsam genutzte jemalloc-Instanz pro Prozess und verweigert eine rein statische Variante, die zuvor ebenfalls Segfaults verursachte.

Wer rspamd betreibt, sollte umgehend auf 4.1.4 aktualisieren — der Authentifizierungs-Bypass betrifft jede Installation mit aktivem Controller, unabhängig davon, ob rspamd eigenständig oder als Teil eines Stacks wie mailcow läuft.