SmarterMail: Rechteausweitung durch veraltete JWT-Rollenangabe im Refresh-Token

Zusammenfassung

SmarterMail speichert beim Ausstellen von JWT-Access- und Refresh-Token eine Rollenangabe und prüft diese beim Einlösen eines Refresh-Tokens über POST /api/v1/auth/refresh-token nicht gegen die aktuelle Rolle des Kontos. Ein Angreifer, der ein Refresh-Token besitzt, das vor der Herabstufung eines Administrators ausgestellt wurde, oder ein herabgestufter Benutzer, dessen Sitzung nicht aktualisiert wurde, kann ein neues Access-Token mit der höheren Rolle erhalten, etwa DomainAdmin oder SysAdmin, bis das Token abläuft. Gemäss CVSS-Vektor benötigt der Angreifer Netzwerkzugriff und ein Konto mit niedrigen Berechtigungen.

Betroffen

• SmarterMail-Versionen vor Build 9777
• Herstellerangabe: betroffen 0 bis < Build 9777

Behoben in

• Auf SmarterMail Build 9777 (8. Oktober 2026) oder neuer aktualisieren
• Die Versionshinweise des Herstellers nennen eine Korrektur, wonach Anmelde-Token eines Domain-Administrators nach dessen Herabstufung abgelehnt werden. Die Hinweise verweisen nicht auf die CVE-ID, daher ist diese Zuordnung eine Annahme.

Umgehung

• Unbekannt. In den Quellen wurde kein Workaround des Herstellers oder Dritter gefunden.
• Bis zum Patch Administratorkonten einschränken und den Zugriff auf die Admin- und API-Oberfläche begrenzen.

Ausnutzung

• CISA-SSVC-Bewertung im CVE-Eintrag: Exploitation none, Automatable no, Technical Impact total.
• In den geprüften Quellen nicht als aktiv ausgenutzt gekennzeichnet.
• Ein öffentliches Proof-of-Concept-Repository deckt diese CVE zusammen mit CVE-2026-104082 und CVE-2026-104083 ab, die als Verkettung beschrieben werden.

Unsere Empfehlung

• Alle SmarterMail-Instanzen auf Build 9777 oder neuer aktualisieren.
• Prüfen, ob eine SmarterMail-Instanz eine Version älter als Build 9777 einsetzt.
• Administrator- und Domain-Administrator-Konten auf kürzliche Herabstufungen prüfen und bestehende Sitzungen widerrufen, sofern das Produkt dies erlaubt.
• Administratoren bitten, sich nach dem Update ab- und wieder anzumelden.
• Anzahl der Administratorkonten begrenzen und Admin- und API-Oberfläche nicht direkt aus dem Internet erreichbar machen.
• Zusammen mit CVE-2026-104082 und CVE-2026-104083 patchen, die laut Quellen eine Kette bilden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• SmarterMail Release Notes (Build 9777) www.smartertools.com
• VulnCheck advisory: SmarterMail stale JWT role claim www.vulncheck.com
• Researcher write-up (blog.evan.lat) blog.evan.lat
• ACN bulletin on SmarterMail issues www.acn.gov.it
• HOL Guard CVE record for CVE-2026-104084 hol.org
• Rapid7 record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:07.