hMailServer: SQL-Injection in der Datenbankschicht für MySQL/MariaDB und PostgreSQL

Zusammenfassung

hMailServer 6.0.0-B1 bis 6.2.18 mit einem MySQL/MariaDB- oder PostgreSQL-Datenbankbackend bindet SQL-Parameter nicht korrekt, wodurch SQL-Injection möglich ist. Ein Wert, der den Namen eines späteren Parameters enthält, kann sein quotiertes Literal vorzeitig beenden und vom Angreifer gewählte SQL einschleusen. Ein authentifizierter Benutzer, der E-Mails versenden darf, erreicht dies in der Standardkonfiguration, indem er an eine frei gewählte Adresse sendet; ein nicht authentifizierter Absender aus dem Internet erreicht es über Nachrichten, die der Server an den Envelope-Absender sendet, etwa Unzustellbarkeitsmeldungen oder automatische Antworten. Das eingeschleuste SQL läuft mit den Rechten des Datenbankkontos; unter PostgreSQL können weitere Anweisungen folgen, unter MySQL/MariaDB bleibt die Änderung auf eine Anweisung beschränkt. SQL Server und SQL Server Compact sind nicht betroffen.

Betroffen

• hMailServer 6.0.0-B1 bis 6.2.18
• Nur mit MySQL/MariaDB oder PostgreSQL als Datenbankbackend
• SQL Server und SQL Server Compact: nicht betroffen

Behoben in

• Auf hMailServer 6.2.19 oder neuer aktualisieren, wie im CVE-Eintrag genannt.
• 6.2.19 hat ein Problem bei Neuinstallationen; die Korrektur liegt in 6.2.20 (Download-Seite des Herstellers, Sekundärquelle).
• Aktuelle Version laut Herstellerseite: 6.3.8. Das verwandte Problem CVE-2026-126619 betrifft Versionen bis 6.3.7; die korrigierte Version ist nicht verifiziert.

Umgehung

• Für betroffene Versionen mit MySQL/MariaDB oder PostgreSQL gibt es keinen vollständigen Workaround.
• Nachrichtenindizierung (MessageIndexing) und Greylisting ausgeschaltet lassen, wie standardmässig; dies entfernt nur diese beiden Wege.
• Das Datenbankkonto auf die nötigen Rechte beschränken.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden; CISA KEV und Exploit-DB noch nicht geprüft.
• VulDB bewertet den Schweregrad mit 7.3; der Score der CNA liegt bei 8.8.

Unsere Empfehlung

• Auf 6.2.20 oder neuer aktualisieren; 6.2.19 behebt die Lücke, hat aber ein Problem bei Neuinstallationen.
• Prüfen, ob MySQL/MariaDB oder PostgreSQL verwendet wird. Bei eingebautem Backend oder MS SQL ist für diese CVE keine Massnahme nötig.
• Bis zur Aktualisierung einschränken, welche Konten E-Mails versenden dürfen, und Datenbank-Logs auf unerwartete Anweisungen überwachen.
• CVE-2026-126619 prüfen, bevor dieser Eintrag geschlossen wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitLab hMailServer 6.2.19 release gitlab.com
• GitLab work item 101 (issue) gitlab.com
• CVE record mirror CVE-2026-126617 cve.threatint.com
• VulDB entry 435709 vuldb.com
• VulDB entry 435715 (sibling issue) vuldb.com
• Progressive Robot hMailServer 6.2.20 download page www.progressiverobot.com
• hMailServer website www.hmailserver.co.uk
• OffSeq threat page CVE-2026-126617 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:20.