hMailServer: Lokale Rechteausweitung durch unsichere Installer-Berechtigungen
Zusammenfassung
Der Windows-Installer von hMailServer 6.0.0 bis 6.3.6 belässt den Programmordner und dessen Unterordner Bin mit geerbten Berechtigungen, wenn der Server ausserhalb des Standardordners Program Files installiert wird, zum Beispiel im Wurzelverzeichnis eines Laufwerks. Ein lokaler Benutzer ohne Administratorrechte kann dann das Dienstprogramm oder die aus Bin geladenen Bibliotheken ersetzen oder verändern. Dadurch kann Code als LocalSystem oder als virtuelles Dienstkonto ausgeführt werden oder mit den Rechten eines Administrators, der Setup- oder Wartungsprogramme ausführt. Die Standardinstallation in Program Files ist nicht betroffen.
Betroffen
- hMailServer 6.0.0 bis 6.3.6 unter Windows
- Nur Installationen in einem Ordner, dessen geerbte Berechtigungen breiten Benutzergruppen Schreibzugriff gewähren, zum Beispiel im Wurzelverzeichnis eines NTFS-Laufwerks
- Standardinstallation in Program Files ist nicht betroffen
Behoben in
- hMailServer 6.3.7
Umgehung
- Upgrade auf 6.3.7 (die Behebung).
- Falls ein Upgrade jetzt nicht möglich ist: Installation in einen Ordner unter Program Files oder an einen Ort mit restriktiven übergeordneten Berechtigungen verschieben und Programmordner und Bin auf SYSTEM, Administratoren und TrustedInstaller beschränken. Dies ist vom Hersteller nicht getestet.
Ausnutzung
- Unbekannt. Es ist kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, wo hMailServer installiert ist.
- Falls die Installation im Wurzelverzeichnis eines Laufwerks oder in einem Ordner mit breiten Schreibrechten liegt, auf 6.3.7 aktualisieren.
- Die Authenticode-Signatur des Installers (Progressive Robot Ltd) vor der Ausführung prüfen.
- Nach dem Upgrade den Ordner Bin auf unerwartete oder veränderte Dateien und DLLs prüfen.
- Lokale Anmeldungen auf dem Mailserver, einschliesslich Remote Desktop, einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- hMailServer 6.3.7 release (GitLab) gitlab.com
- Windows installer: program folder and Bin writable by local users (GitLab issue #78) gitlab.com
- CVE-2026-107571 (OpenCVE) app.opencve.io
- CVE-2026-107571 (Strix) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.