hMailServer: Fehlende Autorisierung in REST- und COM-Administrationsschnittstellen
Zusammenfassung
hMailServer 6.0.0 bis 6.3.6 verweigert bestimmte Änderungen am Mail-Routing und an der Domänenkonfiguration nicht für Zugangsdaten, die auf benannte Domänen beschränkt sind. Ein authentifizierter Benutzer mit solchen Zugangsdaten, etwa ein Domänenadministrator oder ein API-Schlüssel für benannte Domänen, kann Domain-Aliase für beliebige Namen anlegen, Domänen umbenennen, Regelaktionen setzen, die eigene Adressen, Routen, Zugangsdaten oder Event-Script-Funktionen des Servers erreichen, und den Relay-Host der Domäne auf das interne Netzwerk des Servers richten. Auf Mehrmandanten-Servern können dadurch E-Mails anderer Mandanten umgeleitet oder verweigert werden; über die COM-Schnittstelle kann jedes Konto diese Regelaktionen auf seinen eigenen Regeln setzen.
Betroffen
- hMailServer 6.0.0 bis 6.3.6 (Windows sowie Linux-Builds ab 6.3.0)
- REST-API betroffen von 6.3.0 bis 6.3.6 für die genannten Routen; COM-API betroffen ab 6.0.0
Behoben in
- Auf hMailServer 6.3.7 aktualisieren (veröffentlicht am 17. Oktober 2026)
Umgehung
- Domänenadministratoren-Zugangsdaten, Rollen zur Kontoverwaltung in benannten Domänen oder API-Schlüssel für benannte Domänen nicht an Parteien vergeben, denen der gesamte Server nicht vertraut wird
- REST-API deaktiviert lassen (RestApiPort=0, Standard), sofern sie nicht benötigt wird
- Bestehende Domain-Aliase, Domänennamen, Relay-Hosts und Regelaktionen auf unerwartete Einträge prüfen
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- Kein öffentlicher Proof of Concept gefunden
- Ausnutzung setzt gültige, auf bestimmte Domänen beschränkte Zugangsdaten voraus
Unsere Empfehlung
- Alle hMailServer-Installationen auf 6.3.7 oder neuer aktualisieren
- Bis zur Aktualisierung die Vergabe domänenbeschränkter Zugangsdaten einschränken und die REST-API deaktivieren, sofern sie nicht benötigt wird
- Domain-Aliase, Domänennamen, Relay-Hosts und Regelaktionen auf unerwartete Einträge prüfen
- Vor dem Schliessen des Tickets die Behebung anhand der Herstellerinformationen und des Work Items #86 bestätigen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- hMailServer 6.3.7 release (GitLab) gitlab.com
- Work item #86 (GitLab) gitlab.com
- OSV: CVE-2026-114489 osv.dev
- VulDB 424875 vuldb.com
- Hol.org CVE-2026-114489 advisory hol.org
- hMailServer 6.3.7 release (GitHub mirror) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.