Progressive Robot hMailServer: Fehlgeschlagener Datenbankschreibvorgang als Erfolg gemeldet

Zusammenfassung

hMailServer 6.0.0-B1 bis 6.3.7 behandelt eine fehlgeschlagene Datenbankanweisung als erfolgreich, wenn der Anweisungstext die Markierung [IGNORE-ERRORS] enthält, und Werte von aussen, etwa Envelope-Adressen, Benutzernamen fehlgeschlagener Anmeldungen und Nachrichtenheader, können in diesen Text gelangen. Ein entfernter, nicht authentifizierter Angreifer kann den Fehler nicht wählen, doch ein fehlgeschlagener Schreibvorgang, etwa durch eine Constraint-Verletzung, einen Deadlock, einen Timeout oder einen vollen Datenträger, kann ohne Fehlermeldung verloren gehen, sodass Nachrichten als zugestellt gezählt werden, aber nie gespeichert oder nie zugestellt werden. Die gravierendsten Auswirkungen hängen von bestimmten Bedingungen ab, etwa dem Datenbanksystem, Eingaben mit Backslash und aktivierter Datenbankprotokollierung; eine Rechteerweiterung erfolgt nicht.

Betroffen

• hMailServer 6.0.0-B1 bis 6.3.7
• Die Standardkonfiguration ist nicht betroffen; das Ausmass hängt vom Datenbank-Backend (MySQL/MariaDB, PostgreSQL, SQL Server, SQL Server Compact) und von den im Advisory beschriebenen Bedingungen ab

Behoben in

• Behoben in hMailServer 6.3.8 (veröffentlicht am 2. November 2026)

Umgehung

• Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Aktualisieren auf 6.3.8 ist die Lösung.
• Für SQL Server und SQL Server Compact die Datenbankprotokollierung deaktiviert lassen oder das Protokollgerät auf Dateien setzen (die Standardeinstellungen).

Ausnutzung

• Nicht als ausgenutzt bekannt (OffSeq Threat Radar).
• Kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• hMailServer auf Version 6.3.8 oder neuer aktualisieren.
• Bis zur Aktualisierung bei SQL Server und SQL Server Compact prüfen, dass die Datenbankprotokollierung deaktiviert ist oder in Dateien schreibt.
• Mailserver-Protokolle auf unerklärliche Lücken zwischen angenommenen und zugestellten Nachrichten sowie auf fehlgeschlagene Datenbankfehler prüfen.
• Exposition von SMTP-, IMAP- und POP3-Diensten nach Möglichkeit einschränken und auf ungewöhnliche Anmeldefehler achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-126619 www.cve.org
• hMailServer 6.3.8 release gitlab.com
• Work item 100 (GitLab) gitlab.com
• OffSeq Threat Radar entry radar.offseq.com
• VulDB entry 435715 vuldb.com
• Progressive Robot hMailServer downloads 6.3.8 www.progressiverobot.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:45.