返回技術公告
資安通知嚴重程度高CVSS7.5

Proxmox Mail Gateway MIME 解析漏洞可繞過郵件過濾、隔離區畫面可遭 XSS，請更新套件

Proxmox Mail Gateway

Proxmox 原廠於 2026 年 11 月 10 日發布 PSA-2026-00091：Proxmox Mail Gateway 用來解析郵件的 MIME::Tools 上游修正了多項問題（10 個 CVE），可被利用來繞過部分郵件過濾規則（與先前 PSA-2026-00005、00049 類似），部分特製郵件也會讓 pmg-smtp-filter 耗用大量 CPU 或記憶體。原廠已將修正移植到 libmime-tools-perl 5.515-1+pmg3，並在 pmg-api 9.1.5 加入 MIME 巢狀層數上限作為額外防護。同日另有 PSA-2026-00090：隔離區畫面的附件清單直接顯示郵件 Content-Type 標頭而未經 HTML 編碼，外部寄件者可寄送特製附件，在管理者或使用者開啟隔離區時執行跨網站指令碼（XSS），與先前 PSA-2026-00048 類似；以及 PSA-2026-00089，強化 PMG 與 PVE 共用的網頁伺服器（libpve-http-server-perl）對存取記錄與重複 HTTP 標頭的處理。NVD 上這些 CVE 的最高分為 CVSS 3.1 7.5（CISA 提供，資源耗盡類）。

影響版本

  • Proxmox Mail Gateway 9：尚未安裝 libmime-tools-perl 5.515-1+pmg3 修正套件的系統（另應將 pmg-api 更新至 9.1.5 以上取得 MIME 巢狀層數限制）
  • pmg-gui 早於 5.2.4 的系統（PSA-2026-00090 隔離區 XSS）
  • libpve-http-server-perl 早於 6.0.6 的系統（PSA-2026-00089）
  • Proxmox Mail Gateway 8：原廠支援期限已於 2026 年 8 月結束，本次公告未提供 8.x 修正，應升級至 PMG 9

已修正版本

  • libmime-tools-perl 5.515-1+pmg3 以上、pmg-api 9.1.5 以上（PSA-2026-00091）
  • pmg-gui5.2.4 以上PSA-2026-00090
  • libpve-http-server-perl6.0.6 以上PSA-2026-00089

建議處理方式

  1. PMG 9：確認套件庫設定正確且 apt update 無錯誤後，以網頁介面「管理 → 更新」或 apt full-upgrade 更新所有 PMG 節點（叢集內每個節點都要更新）
  2. PMG 8：依原廠跨主要版本升級程序升級至 PMG 9，事前完成備份、規劃及測試
  3. 更新後重新整理瀏覽器（必要時清除快取），確保網頁介面載入新版 pmg-gui

暫時無法更新時

  • PMG 至少自 5.0 起，已使用防毒設定中的「Max files」限制單封郵件的 MIME 區段數量，可減輕部分資源耗用影響；此既有防護不能取代套件更新，原廠未指定需調整的建議數值

如何確認是否受影響

  • 執行 dpkg-query -W libmime-tools-perl pmg-api pmg-gui libpve-http-server-perl，確認版本分別達到 5.515-1+pmg3、9.1.5、5.2.4、6.0.6 或更新（pmgversion -v 未列出 libmime-tools-perl）
  • 於網頁介面「管理 → 更新」確認沒有待安裝的套件

參考來源

Proxmox 論壇：PSA-2026-00091-1 MIME::Toolsforum.proxmox.comProxmox 論壇：PSA-2026-00090-1 隔離區畫面 XSS（貼於公告串第 1 頁）forum.proxmox.comProxmox 論壇：PSA-2026-00089-1 libpve-http-server-perlforum.proxmox.comProxmox Mail Gateway 管理手冊pmg.proxmox.comNVD：CVE-2026-116267nvd.nist.govNVD：CVE-2026-116268nvd.nist.govNVD：CVE-2026-116270nvd.nist.govNVD：CVE-2026-116273nvd.nist.govCISA Known Exploited Vulnerabilities Catalogwww.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

以 RSS 訂閱技術公告選擇要訂閱的軟體，將產生的網址加入 RSS 閱讀器（如 Feedly、Inoreader、Outlook、Thunderbird、Teams、Slack），有新公告時自動收到。

未勾選時為全部公告。依類別訂閱：全部・資安通知・版本更新

資料來源本區資訊整理自各原廠官方公告、版本說明與公開漏洞資料庫，每日檢查更新；點選展開查看來源網站。

Mail Piler

嚴重程度依原廠或 NVD 公布的 CVSS 3.1 分數分級（9.0 以上為重大、7.0 以上為高、4.0 以上為中）；已列入美國 CISA 已知遭利用漏洞清單（KEV）者一律列為重大；原廠未提供分數時依原廠評等與影響範圍判斷，並於各公告註明。版本發布與停止支援公告列為中。實際影響請以原廠公告為準。

相關公告