hMailServer: Authentifizierungsumgehung über alternative Schreibweisen des Kontonamens

Zusammenfassung

hMailServer prüft die Kontosperre pro Name und die Sperre kompromittierter Konten anhand des Kontonamens, wie ihn der Client eingegeben hat. Das Konto selbst wählt die Datenbank jedoch mit eigenem Vergleich aus, der andere Schreibweisen desselben Namens akzeptiert. Ein entfernter, nicht authentifizierter Angreifer kann daher Passwörter über die Sperrschwelle hinaus erraten, indem er die Schreibweise variiert, und eine Person mit dem Passwort eines gesperrten Kontos kann sich damit anmelden. Die Auswirkung hängt vom Datenbank-Backend (MySQL/MariaDB, SQL Server, SQL Server Compact, PostgreSQL) und davon ab, ob die Kontosperre oder die Sperre aktiviert ist, was bei beiden nicht der Standard ist.

Betroffen

• hMailServer 6.2.22-pre2 bis 6.3.7
• Standardmässig nicht betroffen: Die Kontosperre pro Name (AccountLockoutThreshold) und die Sperre kompromittierter Konten sind standardmässig deaktiviert.

Behoben in

• Aktualisierung auf hMailServer 6.3.8. Laut der Download-Seite des Herstellers wurde sie am 2. November 2026 veröffentlicht.

Umgehung

Unbekannt. Kein vom Hersteller bestätigter Workaround.

• Zugriff auf IMAP, POP3, SMTP AUTH sowie REST/Webmail auf bekannte Netze oder ein VPN beschränken
• Authentifizierungsprotokolle auf wiederholte fehlgeschlagene Anmeldungen für ein Konto überwachen

Ausnutzung

Nicht bekannt, dass die Lücke ausgenutzt wird. Öffentlicher Exploit-Code: Unbekannt. Eintrag im CISA-KEV-Katalog: nicht geprüft.

Unsere Empfehlung

• Server mit 6.2.22-pre2 bis 6.3.7 auf 6.3.8 aktualisieren, zuerst Internet-exponierte Server
• Prüfen, ob AccountLockoutThreshold oder die Erkennung kompromittierter Konten aktiviert ist und welches Datenbank-Backend verwendet wird
• Starke Passwörter erzwingen und Protokolle bis zur Aktualisierung auf wiederholte fehlgeschlagene Anmeldungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-126615 www.cve.org
• GitLab hMailServer 6.3.8 release gitlab.com
• GitLab work item 104 (sign-in and lockout bypass) gitlab.com
• Progressive Robot hMailServer 6.3.8 download page www.progressiverobot.com
• VulDB CVE-2026-126615 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:55.