SmarterMail: Remote Code Execution über Volume-Mount-Skript
Zusammenfassung
SmarterMail vor Build 9777 enthält eine Code-Injection-Schwachstelle (CWE-94), die Remote Code Execution ermöglicht. Ein Angreifer mit einem SysAdmin-Zugriffstoken kann die Beschränkung des Skriptverzeichnisses bei Volume Mounts umgehen, ein bösartiges Skript hochladen und auslösen, was zu einer Reverse Shell als Dienstkonto von SmarterMail mit SYSTEM-Rechten führt. Ein gültiges SysAdmin-Token ist erforderlich, eine Benutzerinteraktion ist nicht nötig.
Betroffen
- SmarterMail vor Build 9777
- Unbekannt: ob Builds zwischen 9560 und 9777 betroffen sind, da sich die Quellen widersprechen.
Behoben in
- Build 9777 (veröffentlicht am 8. Okt. 2026) oder neuer
Umgehung
- Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Update ist die dokumentierte Behebung.
Ausnutzung
- CISA SSVC: Exploitation-Status PoC, nicht automatisierbar.
- Öffentliches Exploit-Material und eine Beschreibung des Forschers existieren.
- Nicht im CISA-KEV-Katalog aufgeführt; keine bestätigte Ausnutzung in freier Wildbahn.
- EPSS 0.6% (Stand 2026-10-13).
Unsere Empfehlung
- Auf Build 9777 oder neuer aktualisieren, ohne Verzögerung.
- Falls der Server aus dem Internet erreichbar und noch nicht gepatcht ist, hat dies höchste Priorität.
- Zugriff auf das Admin-Interface auf Management-Netzwerke beschränken.
- SysAdmin-API-Token prüfen und nicht benötigte Token widerrufen; Logs auf unerwartete Änderungen an Domains oder Mount-Konfigurationen prüfen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
eev4n/smartermail
Quellen der Recherche
- CNA/VulnCheck advisory www.vulncheck.com
- SmarterMail release notes (Build 9777) www.smartertools.com
- Researcher blog post blog.evan.lat
- VulDB entry vuldb.com
- GitHub repository eev4n/smartermail github.com
- ismalicious CVE details ismalicious.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.