Alerta crítica: Se ha identificado una vulnerabilidad de severidad CRITICAL (CVSS 9.8) en Mailu y sus helm-charts. Un atacante remoto no autenticado podría evadir la autenticación basada en proxy mediante la manipulación de la cabecera X-Forwarded-By, comprometiendo la confidencialidad, integridad y disponibilidad del servidor de correo. Se recomienda la aplicación inmediata de las actualizaciones publicadas por el fabricante.
Resumen ejecutivo
La vulnerabilidad CVE-2026-85751, con una puntuación CVSS v3.1 de 9.8 (CRITICAL), afecta a los servidores de correo Mailu en versiones desde la 2.0 hasta la 2024.06.55, así como a los despliegues realizados mediante helm-charts anteriores a la versión 2.7.3. El fallo reside en la gestión de la cabecera X-Forwarded-By durante la autenticación basada en proxy, permitiendo a un atacante remoto no autenticado suplantar la identidad de un proxy de confianza y eludir la autenticación. La explotación exitosa podría resultar en el acceso total al servidor de correo, comprometiendo la confidencialidad y disponibilidad del servicio.
Acción recomendada: Actualizar de forma inmediata Mailu a la versión 2024.06.55 o posterior, y los helm-charts a la versión 2.7.3 o posterior. Adicionalmente, aplicar las configuraciones de mitigación descritas en el aviso oficial del fabricante si la actualización no es posible de forma inmediata.
| Nombre | Detalle |
|---|---|
| CVE | CVE-2026-85751 |
| Fabricante / Producto | Mailu / Mailu y Mailu helm-charts |
| Fecha de publicación | 2026-09-21 |
| Severidad | CRITICAL |
| CVSS v3.1 | 9.8 (Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad recomendada | Crítica – aplicar actualización o mitigación de inmediato (Prioridad 220 según RyzerBot) |
Qué es la vulnerabilidad
Mailu es un servidor de correo modular distribuido como un conjunto de imágenes Docker, diseñado para simplificar el despliegue de infraestructura de correo electrónico. Las instancias que utilizan la autenticación basada en proxy (PROXY_AUTH_WHITELIST) son susceptibles a esta vulnerabilidad si no se define la variable REAL_IP_HEADER.
El problema radica en que, bajo esta configuración específica, el servidor confía en la cabecera X-Forwarded-By, que es controlada por el cliente. La directiva proxy_hide_header en la plantilla de nginx (core/nginx/conf/proxy.conf) oculta esta cabecera en las respuestas del servidor upstream, pero no sobrescribe el valor de la cabecera entrante en la petición del cliente. Esta discrepancia permite que un atacante inyecte un valor arbitrario en X-Forwarded-By para hacerse pasar por un proxy de confianza, y así eludir los mecanismos de autenticación que dependen de esta cabecera.
Esta vulnerabilidad se clasifica bajo las siguientes CWE:
- CWE-290: Bypass de autenticación por suplantación de identidad.
- CWE-807: Dependencia de entradas no confiables en una decisión de seguridad.
La causa raíz es la confianza implícita en una cabecera proporcionada por el cliente sin la verificación adecuada del origen de la conexión, un error común en la gestión de proxies inversos. La corrección proporcionada por el fabricante asegura que la cabecera entrante sea sobrescrita o validada correctamente en todas las configuraciones, independientemente de los ajustes de IP real del cliente.
La vulnerabilidad ha sido corregida en las siguientes versiones seguras:
- Mailu 2024.06.55
- Mailu helm-charts 2.7.3
Productos y versiones vulnerables
Según la información publicada por CVE.org y NVD, las versiones afectadas son las siguientes:
| Producto | Versiones afectadas |
|---|---|
| Mailu | >= 2.0.0 y < 2024.06.55 |
| Mailu helm-charts | < 2.7.3 |
La vulnerabilidad afecta a las implementaciones de Mailu que tengan configurado PROXY_AUTH_WHITELIST pero no hayan establecido la variable REAL_IP_HEADER. En esta configuración específica, el servidor confía en la cabecera X-Forwarded-By controlada por el cliente para la autenticación basada en proxy.
Las versiones corregidas son Mailu 2024.06.55 y Mailu helm-charts 2.7.3. No se han publicado otras versiones afectadas o corregidas en las fuentes consultadas.
Impacto y riesgo
Esta vulnerabilidad ha recibido una puntuación CVSS v3.1 de 9.8 (CRITICAL) con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto indica que un atacante remoto no autenticado puede explotar la vulnerabilidad sin requerir interacción del usuario ni privilegios previos.
El impacto se clasifica como alto en los tres ejes principales:
- Confidencialidad (C:H): un atacante podría acceder a información sensible, incluyendo correos electrónicos almacenados o en tránsito.
- Integridad (I:H): posibilidad de modificar datos, como alterar mensajes de correo o configuraciones.
- Disponibilidad (A:H): podría interrumpir el servicio de correo o degradar su funcionamiento.
La causa raíz se encuentra en la confianza de una cabecera controlable por el cliente (X-Forwarded-By) para decisiones de seguridad, clasificada como CWE-290 (Authentication Bypass by Spoofing) y CWE-807 (Reliance on Untrusted Inputs in a Security Decision). El problema se origina en la plantilla de nginx en core/nginx/conf/proxy.conf: la directiva proxy_hide_header oculta la cabecera en las respuestas del servidor upstream, pero no sobrescribe el valor entrante en la petición cuando REAL_IP_HEADER no está definido.
Dado que el producto es un servidor de correo distribuido mediante imágenes Docker, el riesgo se extiende a cualquier despliegue que utilice autenticación por proxy en esta configuración. La criticidad se ve incrementada por la facilidad de explotación y la ausencia de requisitos de autenticación previa.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información sobre explotación activa de esta vulnerabilidad. No se ha confirmado ni documentado ningún caso de aprovechamiento en entornos reales hasta la fecha de publicación de este análisis.
No obstante, la naturaleza de la vulnerabilidad —una omisión de autenticación mediante suplantación de identidad del proxy— y su puntuación CVSS de 9.8 la convierten en un objetivo atractivo para atacantes. Se recomienda aplicar las actualizaciones disponibles con carácter prioritario, sin esperar a que se confirme explotación pública.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo ioc del contexto aparece vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad.
La ausencia de IOC publicados no implica que no existan; simplemente refleja que las fuentes oficiales consultadas no los han divulgado. Se recomienda monitorizar los sistemas afectados en busca de actividad anómala relacionada con peticiones que incluyan cabeceras X-Forwarded-By manipuladas y revisar los registros de acceso al proxy para detectar intentos de autenticación no autorizados.
Cómo comprobar si estás afectado
Para determinar si tu despliegue de Mailu es vulnerable a CVE-2026-85751, debes verificar dos condiciones que, combinadas, exponen el servidor a la suplantación del proxy de autenticación:
- Versión afectada: tu instancia de Mailu debe estar en una versión
>= 2.0.0y anterior a2024.06.55, o bien estar utilizandohelm-chartsanterior a2.7.3. - Configuración vulnerable: la variable
PROXY_AUTH_WHITELISTdebe estar configurada y, al mismo tiempo, la variableREAL_IP_HEADERdebe permanecer sin definir.
Si ambas condiciones se cumplen, el servidor confía en la cabecera X-Forwarded-By controlada por el cliente para la autenticación basada en proxy. La directiva proxy_hide_header de la plantilla nginx (core/nginx/conf/proxy.conf) oculta la cabecera en las respuestas del upstream, pero no sobrescribe el valor entrante en esta configuración concreta, lo que permite a un atacante remoto no autenticado falsificar la identidad del proxy y eludir la autenticación.
Nota importante: No se han publicado en las fuentes consultadas comandos específicos de detección. La comprobación debe realizarse revisando la configuración de tu despliegue y la versión instalada.
Mitigación y actualización
La vulnerabilidad está corregida en las siguientes versiones publicadas por el fabricante:
- Mailu 2024.06.55 — para despliegues basados en imágenes Docker.
- Mailu helm-charts 2.7.3 — para despliegues mediante Helm.
La acción recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Los commits de corrección referenciados en el aviso de seguridad (dffa97cbd889ab208246372ce9c86e99abb27ae9 y ff4003d045753013470945336448dbd790cac778) y los pull requests asociados (#4070 y #4071) contienen los cambios necesarios para resolver el problema.
Si no puedes actualizar de inmediato, revisa la configuración de tu despliegue y evalúa si la combinación de PROXY_AUTH_WHITELIST configurada con REAL_IP_HEADER sin definir está presente en tu entorno. En ese caso, la exposición es crítica y debe priorizarse la actualización.
Checklist para administradores
- ☐ Identificar la versión exacta de Mailu o helm-charts desplegada en tu entorno.
- ☐ Verificar si la versión instalada está en el rango afectado (
>= 2.0.0y< 2024.06.55, o helm-charts< 2.7.3). - ☐ Revisar la configuración actual para confirmar si
PROXY_AUTH_WHITELISTestá definida yREAL_IP_HEADERno lo está. - ☐ Consultar el aviso de seguridad oficial del fabricante (GHSA-rfhj-4wcq-74xg) y las referencias asociadas.
- ☐ Planificar y ejecutar la actualización a Mailu 2024.06.55 o helm-charts 2.7.3, según corresponda.
- ☐ Tras la actualización, verificar que la autenticación basada en proxy sigue funcionando correctamente.
- ☐ Monitorizar los registros del servidor en busca de intentos de acceso no autorizados que puedan indicar explotación previa.
Preguntas frecuentes
¿Qué es CVE-2026-85751?
Es una vulnerabilidad crítica (CVSS 9.8) en Mailu, un servidor de correo distribuido como conjunto de imágenes Docker. Permite a un atacante remoto no autenticado falsificar la identidad del proxy de autenticación y eludir la autenticación cuando se cumplen ciertas condiciones de configuración.
¿Qué versiones están afectadas?
Las versiones de Mailu desde 2.0.0 hasta 2024.06.55 (excluida) y las versiones de helm-charts anteriores a 2.7.3 están afectadas. Las versiones corregidas son Mailu 2024.06.55 y helm-charts 2.7.3.
¿Qué configuración hace vulnerable mi despliegue?
La vulnerabilidad se activa cuando PROXY_AUTH_WHITELIST está configurada pero REAL_IP_HEADER no está definida. En esta configuración, el servidor confía en la cabecera X-Forwarded-By controlada por el cliente para la autenticación basada en proxy.
¿Cuál es el impacto de esta vulnerabilidad?
Un atacante remoto no autenticado podría suplantar la identidad del proxy de confianza y eludir la autenticación, comprometiendo la confidencialidad, integridad y disponibilidad del servidor de correo (impacto alto en los tres ejes según el vector CVSS).
¿Existen exploits públicos?
No publicado por las fuentes consultadas. Las referencias disponibles incluyen los commits de corrección, los pull requests y el aviso de seguridad del fabricante, pero no se mencionan exploits públicos.
¿Cómo puedo proteger mi servidor si no puedo actualizar de inmediato?
La actualización es la única acción confirmada por el fabricante. Revisa el aviso oficial y evalúa si tu configuración está expuesta. Si no puedes actualizar, prioriza la planificación de la actualización como medida principal.