hMailServer: Fehlende Autorisierung in der COM-Administrationsschnittstelle

Zusammenfassung

Die COM-Administrationsschnittstelle von hMailServer 6.3.4 bis 6.3.6 beschränkt ein Konto mit der Rolle serveradmin und einer Domainliste nicht auf diese Domains. Ein solches Konto wird als Serveradministrator aller Domains behandelt. Ein Konto mit der Rolle domainadmin und einer Domainliste, die die eigene Domain ausschliesst, kann über COM zudem die gewöhnlichen Konten dieser Domain verwalten. Ein Angreifer mit einem gültigen Zugang dieser Art, der sich über die Control Panel oder ein Skript auf dem Server anmeldet, kann die Konten und E-Mails aller Domains lesen und ändern, Domains umbenennen, Domain-Aliase hinzufügen, Servereinstellungen ändern und neue Serveradministratoren anlegen.

Betroffen

• hMailServer 6.3.4 bis 6.3.6 (Windows, da die COM-Schnittstelle nur unter Windows verfügbar ist)
• Konten mit serveradmin und einer nicht leeren Domainliste
• Konten mit domainadmin und einer Domainliste, die die eigene Domain ausschliesst
• Der CNA-Eintrag des Herstellers nennt diesen Bereich; VulDB nennt 'bis 6.3.6', daher sollten auch ältere Versionen geprüft werden

Behoben in

• Auf hMailServer 6.3.7 aktualisieren

Umgehung

• Bis zur Installation von 6.3.7 die Rolle serveradmin mit einer Domainliste keinem Zugang zuweisen, der auf diese Domains beschränkt bleiben muss.
• Stattdessen eine benutzerdefinierte Rolle mit den nötigen Berechtigungen und einer Domainliste verwenden oder die Rolle domainadmin mit einer Domainliste, die die eigene Domain des Kontos enthält.
• Rollenzuweisungen in der Control Panel unter Konten & Domains, Administratorrollen oder über GET /api/v1/role-assignments prüfen.

Ausnutzung

• Zum Zeitpunkt der Quellen ist kein öffentlicher Exploit und keine Ausnutzung in freier Wildbahn bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Lokaler Zugriff und ein gültiger Administratorzugang mit niedrigen Rechten sind erforderlich.

Unsere Empfehlung

• Auf hMailServer 6.3.7 aktualisieren.
• Alle Konten mit der Rolle serveradmin oder domainadmin prüfen, die eine Domainliste haben, und nicht benötigte Berechtigungen entfernen oder einschränken.
• Festlegen, wer COM-Skripte auf dem Server ausführen darf.
• Control Panel und Administrationsprotokolle auf unerwartete Änderungen des Serveradministrators oder neue Administratorkonten prüfen.
• Falls die REST-Schnittstelle aus dem Internet erreichbar ist, auch CVE-2026-114476 beheben, das mit derselben Version behoben wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• hMailServer 6.3.7 release (GitLab) gitlab.com
• GitLab work item #87 (vendor issue) gitlab.com
• hMailServer 6.3.7 release (GitHub mirror) github.com
• The COM API and Scripting (project wiki) github.com
• VulDB entry CVE-2026-114490 vuldb.com
• OpenCVE entry CVE-2026-114490 app.opencve.io
• OSV entry CVE-2026-114476 (related REST API issue) osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:51.