Progressive Robot hMailServer: Denial of Service durch unbegrenzte JSON-Verarbeitung

Zusammenfassung

hMailServer 6.3.2 bis 6.3.7 erstellt aus Anfragen und zugestellten TLS-RPT-Berichten einen JSON-Baum ohne Begrenzung der Anzahl Werte und kopiert verschachtelte Werte pro Ebene erneut. Ein präpariertes JSON-Dokument von etwa 16 MB kann den Speicherbedarf um rund 2 GB erhöhen und einen Thread für Sekunden bis Minuten blockieren. Da REST-API und Zustellungs-Threads im selben Prozess wie SMTP, IMAP und POP3 laufen, können Mailzustellung, REST-API und Webmail nicht mehr verfügbar sein. In einigen Konfigurationen ist kein Konto nötig, etwa bei einem zugestellten TLS-RPT-Bericht an die Berichtsmailbox einer Domain; andere Wege setzen ein Konto oder einen Link zu einer geschützten Nachricht voraus.

Betroffen

• hMailServer (Fork von Progressive Robot) 6.3.2 bis 6.3.7
• Der TLS-RPT-Mailweg gilt ab 6.3.4; der Antwortweg für geschützte Nachrichten gilt ab 6.3.4, wenn die REST-API und eine öffentliche Basis-URL gesetzt sind
• Die Standardkonfiguration ist nicht betroffen

Behoben in

• Behoben in hMailServer 6.3.8

Umgehung

• Bis zum Update auf 6.3.4 bis 6.3.7 die Berichtsmailbox jeder Domain leeren oder auf Domains ausserhalb des Servers verschieben, sodass der Server keinen Bericht liest
• OpenPGP im Webmail ausschalten (portal_enabled unter /api/v1/settings/openpgp) oder für betroffene Domains und Konten ausschalten
• REST-API ausgeschaltet lassen, solange sie nicht benötigt wird

Ausnutzung

• Remote, ohne Authentifizierung für den zugestellten TLS-RPT-Weg und den Antwortweg für geschützte Nachrichten in den oben beschriebenen Konfigurationen
• Authentifizierte Benutzer können ab 6.3.2 bis 6.3.7 die Send- und Draft-Routen des Webmails auslösen
• Messungen des Herstellers zeigten einen blockierten Worker für Sekunden bis Minuten und rund 2 GB zusätzlichen Speicherbedarf pro Anfrage
• Unbekannt, ob eine öffentliche Ausnutzung stattgefunden hat

Unsere Empfehlung

• Alle hMailServer-Server mit 6.3.2 bis 6.3.7 auf 6.3.8 aktualisieren (Datenbank-TLS-Einstellungen vor dem Update prüfen, wie in den Hinweisen zu 6.3.8 beschrieben)
• Falls ein sofortiges Update nicht möglich ist, die oben genannten Massnahmen anwenden
• Prüfen, ob TLS-RPT-Berichtsmailboxen oder die REST-API extern erreichbar sind
• Speicherauslastung und Verfügbarkeit des Mailservers überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• hMailServer 6.3.8 release (GitLab) gitlab.com
• GitLab work item 110: JSON reader gitlab.com
• Progressive Robot hMailServer 6.3.8 downloads www.progressiverobot.com
• CVE record mirror CVE-2026-126613 cve.threatint.com
• VulDB 435713 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:26.