hMailServer: Übermässige Authentifizierungsversuche im Webdienst-Listener

Zusammenfassung

Der Webdienst-Listener von hMailServer 6.3.3 bis 6.3.7 wendet die IP-Bereiche des Servers auf die angenommenen Verbindungen nicht an. Ein entfernter, nicht authentifizierter Angreifer, dessen Adresse automatisch gesperrt wurde, kann weiter Kontopasswörter über die Anmeldungen bei CardDAV, CalDAV und Autodiscover erraten, während die Mail-Listener diese Adresse abweisen. Der Listener ist standardmässig deaktiviert und wird nur über seinen HTTPS-Port erreicht, auch hinter einem TLS-terminierenden Proxy.

Betroffen

• hMailServer 6.3.3 bis 6.3.7 (Angabe des CNA)
• CardDAV ab 6.3.3; CalDAV und Autodiscover ab 6.3.4
• Nur wenn der Webdienst-Listener aktiviert ist (WebServicesHttpsPort ungleich 0)

Behoben in

• Auf hMailServer 6.3.8 aktualisieren

Umgehung

• WebServicesHttpsPort auf 0 belassen, falls CalDAV, CardDAV und Autodiscover nicht benötigt werden
• Den HTTPS-Port des Listeners auf der Firewall auf vertrauenswürdige Clients beschränken, da die Firewall-Regel der automatischen Sperre und der fail2ban-Jail diesen Port nicht abdecken

Ausnutzung

Unbekannt.

Unsere Empfehlung

• Auf hMailServer 6.3.8 aktualisieren
• Nach dem Update prüfen, ob administrativ definierte IP-Bereiche, die keines der Mail-Protokolle zulassen, benötigte Dienste wie ACME http-01, MTA-STS, CalDAV, CardDAV, Autodiscover oder die Autokonfiguration nicht blockieren
• Falls der Webdienst-Listener nicht benötigt wird, beide Webdienst-Ports auf 0 belassen
• Logs auf wiederholte fehlgeschlagene Anmeldungen bei CardDAV, CalDAV oder Autodiscover überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-126614 www.cve.org
• hMailServer 6.3.8 release (GitLab) gitlab.com
• GitLab work item #105 gitlab.com
• VulDB entry CVE-2026-126614 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:55.