hMailServer: Unkontrolliertes Suchpfadelement beim Laden von MySQL-Plugins

Zusammenfassung

hMailServer 6.2.3 bis 6.3.7 unter Windows mit einer MySQL- oder MariaDB-Datenbank bildet den Pfad des Plugin-Ordners fehlerhaft, wenn der Installationspfad bestimmte Zeichen zwischen U+0080 und U+00FF enthält. Ein lokaler authentisierter Benutzer, der an der resultierenden Stelle einen Ordner anlegen kann, kann dort eine DLL ablegen, die beim Verbindungsaufbau des Dienstes unter dem Dienstkonto von hMailServer (LocalSystem oder virtuelles Konto) ausgeführt wird. Auch die Datenbankbefehle des Servers können in einer Administrator-Sitzung eine DLL aus dem Stammverzeichnis eines beschreibbaren Laufwerks laden. Der Standard-Installationspfad ist ASCII und nicht betroffen, und Linux-Builds sind nicht betroffen.

Betroffen

• hMailServer 6.2.3 bis 6.3.7 unter Windows
• Nur mit einer MySQL- oder MariaDB-Datenbank
• Nur wenn der Installationspfad ein Zeichen zwischen U+0080 und U+00FF enthält
• Standardinstallation unter Program Files ist nicht betroffen
• Linux-Builds sind nicht betroffen

Behoben in

• Behoben in hMailServer 6.3.8

Umgehung

• Für Systeme, die nicht aktualisiert werden können, ist kein Workaround des Herstellers bekannt.
• Provisorische Massnahmen, nicht vom Hersteller bestätigt: Installationspfad auf Zeichen zwischen U+0080 und U+00FF prüfen, sicherstellen, dass nur Administratoren Ordner im Stammverzeichnis des Systemlaufwerks und anderer Laufwerke anlegen können, und die lokale Anmeldung am Server auf vertrauenswürdige Administratoren beschränken.

Ausnutzung

Unbekannt. In der Recherche wurde kein öffentlicher Proof of Concept gefunden. Ein Aggregator führt die CVE als nicht bekannt ausgenutzt; dies ist nicht verifiziert. CISA KEV wurde nicht geprüft.

Unsere Empfehlung

• Auf hMailServer 6.3.8 aktualisieren und prüfen, ob die Authenticode-Signatur des Installers gültig und von Progressive Robot Ltd signiert ist.
• Das Update vor dem Rollout testen, da ein Benutzerbericht von verzögerter Mail-Zustellung an einige Domains nach 6.3.7 oder 6.3.8 berichtet.
• Prüfen, ob eine Installation eine MySQL- oder MariaDB-Datenbank und einen nicht-ASCII-Installationspfad verwendet.
• Lokale Anmeldung am Server einschränken und prüfen, wer Ordner im Stammverzeichnis von Laufwerken anlegen kann.
• Bis zum Update die oben genannten provisorischen Massnahmen anwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-126607 www.cve.org
• GitLab issue #116 (hMailServer) gitlab.com
• GitLab release hMailServer 6.3.8 gitlab.com
• Progressive Robot hMailServer 6.3.8 download www.progressiverobot.com
• OffSeq threat radar CVE-2026-126607 radar.offseq.com
• CVE details (threatint) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:24.