Axigen Mail Server: Unauthentifizierte Denial of Service durch tief verschachtelte Anfragen

Zusammenfassung

Axigen Mail Server bis 10.5.69, 10.6.x bis 10.6.40 und 10.7.x bis 10.7.2 begrenzen die Verschachtelungstiefe von SOAP/XML- und JSON-Request-Bodies vor der Authentifizierung nicht. Ein unauthentifizierter Angreifer kann mit einer einzigen tief verschachtelten Anfrage an die Listener von WebMail, WebAdmin oder WebMail Proxy den Stack erschöpfen und den Serverprozess zum Absturz bringen. Dabei fallen SMTP-, IMAP-, POP3- und Webdienste aus, und wiederholte Anfragen können den Server dauerhaft nicht verfügbar halten.

Betroffen

• Axigen Mail Server 10.0.x bis vor 10.5.69
• Axigen Mail Server 10.6.x bis vor 10.6.40
• Axigen Mail Server 10.7.x bis vor 10.7.2
• Ältere Zweige (9.x und tiefer): Unbekannt.

Behoben in

• 10.5.69
• 10.6.40
• 10.7.2

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Einspielen des Patches ist die Massnahme. Bis zur Behebung den Zugriff auf WebMail, WebAdmin und WebMail Proxy auf vertrauenswürdige Netze oder ein VPN beschränken.

Ausnutzung

• Gemäss OffSeq nicht als ausgenutzt bekannt; die CISA-SSVC-Bewertung führt die Ausnutzung als none.
• Kein öffentlicher Proof of Concept gefunden.
• Ein öffentliches Scanner-Template kann exponierte Instanzen auffinden.
• Das Label "0-Day" bei VulDB ist nicht definiert und unklar.

Unsere Empfehlung

• Alle Axigen-Instanzen und deren Versionen erfassen, einschliesslich allfälliger 9.x-Installationen oder älterer Installationen.
• Je nach Zweig auf 10.5.69, 10.6.40 oder 10.7.2 aktualisieren, nach Prüfung der Herstellerhinweise.
• WebMail, WebAdmin und WebMail Proxy bis zur Aktualisierung auf vertrauenswürdige Netze oder ein VPN beschränken.
• Auf Abstürze oder Neustarts der Mail-Dienste achten.
• Das Update behebt auch CVE-2026-119761 (Stored XSS in WebMail, gleiches Release).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Axigen KB: CVE-2026-119762 www.axigen.com
• Axigen 10.6.40 Update www.axigen.com
• Axigen 10.7.2 Update www.axigen.com
• VulnCheck advisory www.vulncheck.com
• VulDB 429274 vuldb.com
• OffSeq radar: CVE-2026-119762 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:23.