hMailServer: Unzureichende Zertifikatsprüfung bei Datenbank-TLS-Verbindungen

Zusammenfassung

hMailServer 6.3.4 bis 6.3.7 übergibt die konfigurierte TlsCaFile nicht an den MySQL- oder MariaDB-Client, wenn der Dateiname Nicht-ASCII-Zeichen enthält, während die Zertifikatsprüfung aktiv bleibt. Ein Angreifer, der die Verbindung zur Datenbank abfangen oder ersetzen kann, kann den Datenverkehr zwischen hMailServer und der Datenbank lesen und verändern und in einigen Konfigurationen das Datenbankpasswort erlangen. Das Problem betrifft nur TlsMode=verify-full, was nicht die Standardeinstellung ist (prefer prüft kein Zertifikat).

Betroffen

• hMailServer 6.3.4 bis 6.3.7 mit MySQL oder MariaDB, TlsMode=verify-full und einem TlsCaFile-Namen mit Nicht-ASCII-Zeichen
• MariaDB Connector/C 3.4.2 bis 3.4.10 als Datenbank-Client (CONC-853), sowie 3.4.1 bis 3.4.9 in Kombination mit CVE-2026-107819
• Lokale Verbindungen (127.0.0.1, ::1, Unix-Socket, Named Pipe) mit Connector/C 3.4.1 und neuer, wenn keine CA-Datei gesetzt ist

Behoben in

• hMailServer 6.3.8: verweigert einen TlsCaFile-Namen, den nicht an den Client übergeben werden kann (HM7534), statt ihn stillschweigend zu verwerfen
• MariaDB Connector/C 3.4.11 oder neuer unter Linux (behebt CVE-2026-107819 und CONC-853)

Umgehung

• Einen TlsCaFile-Pfad verwenden, der nur ASCII-Zeichen enthält und auf die CA zeigt, die das Zertifikat des Datenbankservers ausgestellt hat
• Sich nicht auf die Hinweise zu 6.3.7 verlassen, die eine TlsCaFile als Massnahme gegen CVE-2026-107819 nannten; für Nicht-ASCII-Namen traf dies nicht zu

Ausnutzung

Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• hMailServer auf 6.3.8 aktualisieren und unter Linux MariaDB Connector/C auf 3.4.11 oder neuer
• Bis zur Aktualisierung einen TlsCaFile-Pfad mit ausschliesslich ASCII-Zeichen verwenden
• Prüfen, ob TlsMode=verify-full verwendet wird und ob die Datenbankverbindung über ein gemeinsam genutztes Netzwerk läuft
• Datenbankzugriff auf den Mailserver beschränken und auf TLS-Fehler oder unerwartete Verbindungen überwachen
• Nach dem Update können für Nicht-ASCII-Namen HM7534-Fehler auftreten; diese CA-Dateien umbenennen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• hMailServer 6.3.8 release gitlab.com
• GitLab work item 112: Database TLS verify-full dropped TlsCaFile gitlab.com
• hMailServer 6.3.8 release notes (GitHub mirror) github.com
• hMailServer 6.3.8 download notes www.progressiverobot.com
• OffSeq entry for CVE-2026-126610 radar.offseq.com
• VulDB entry 435716 vuldb.com
• CVE-2026-126610 record (threatint) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:27.