hMailServer: Unzureichende Zertifikatsprüfung der Datenbankverbindung

Zusammenfassung

hMailServer 6.3.4 bis 6.3.7 prüft das Zertifikat des MySQL- oder MariaDB-Datenbankservers nicht, wenn TlsMode auf verify-full gesetzt ist, kein TlsCaFile konfiguriert ist und Server auf eine lokale Adresse zeigt (127.0.0.1, ::1, localhost, ein Unix-Socket, eine Named Pipe oder eine Liste, die einen solchen Eintrag enthält). Ein lokaler Angreifer, der sich als Datenbankserver ausgibt, zum Beispiel indem er dessen Port abhört, während der Server gestoppt ist oder neu startet, kann die Datenbankanmeldung inklusive Passwort empfangen und den Datenverkehr lesen und verändern. Das Anwendungsprotokoll und die Ausgabe von check-database melden trotzdem, dass das Zertifikat geprüft wurde.

Betroffen

• hMailServer 6.3.4 bis 6.3.7 (Windows enthält MariaDB Connector/C 3.4.9 für 6.3.4 bis 6.3.6 und 3.4.11 für 6.3.7; Linux verwendet den Client der Distribution)
• Nur mit MySQL oder MariaDB, TlsMode=verify-full, ohne TlsCaFile und mit einem lokalen Server-Wert
• Die Standardkonfiguration (TlsMode=prefer) ist nicht betroffen

Behoben in

• Aktualisierung auf hMailServer 6.3.8

Umgehung

• TlsCaFile auf eine Datei setzen, die nur die CA enthält, welche das Zertifikat des Datenbankservers ausstellt, mit einem Pfad, der nur ASCII-Zeichen enthält. Dadurch wird auf lokalen Verbindungen der Aussteller des Zertifikats geprüft, aber nicht dessen Name.
• Bis zur Aktualisierung TlsMode=verify-full ohne TlsCaFile auf lokalen Verbindungen nicht verwenden.

Ausnutzung

Unbekannt.

Unsere Empfehlung

• So schnell wie möglich auf hMailServer 6.3.8 aktualisieren.
• Bis dahin TlsCaFile wie oben beschrieben konfigurieren.
• In hMailServer.ini auf TlsMode=verify-full ohne TlsCaFile auf Systemen mit MySQL oder MariaDB prüfen.
• Lokalen Zugriff auf den Datenbankserver und den Host einschränken und das Datenbankpasswort ändern, falls ein unberechtigter lokaler Benutzer Zugriff gehabt haben könnte.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• hMailServer 6.3.8 release gitlab.com
• hMailServer issue #113 (Database TLS) gitlab.com
• CVE Record CVE-2026-126611 www.cve.org
• VulDB entry 435710 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:31.