hMailServer: Unzureichende Zertifikatsprüfung durch Dateinamenbehandlung unter Windows

Zusammenfassung

Unter Windows übergibt hMailServer 6.0.0-B1 bis 6.3.7 die Namen seiner TLS-Dateien so an OpenSSL, dass OpenSSL sie als UTF-8 lesen und eine andere Datei öffnen kann als die konfigurierte. Betroffen sind Listener-Zertifikate und -Schlüssel, DH-Parameter, CA-Dateien für Client-Zertifikate, die CA-Datei des Objektspeichers und ACME-Dateien. Die Schwachstelle ist in der Standardkonfiguration nicht ausnutzbar. Ein lokaler Benutzer, der eine Datei oder einen Ordner unter dem anderen Namen anlegen kann, kann bei aktivierter Anmeldung per Client-Zertifikat, Objektspeicher-CA oder ACME eine fremde CA akzeptieren lassen, Netzwerkanmeldungen ohne Passwort ermöglichen, Nachrichten im Objektspeicher abfangen, ACME-Privatschlüssel erhalten oder den Start von TLS-Ports verhindern. Die Linux-Versionen sind nicht betroffen.

Betroffen

• hMailServer Windows-Versionen 6.0.0-B1 bis 6.3.7
• Linux-Versionen sind nicht betroffen
• Standardkonfiguration ist nicht betroffen

Behoben in

• Aktualisierung auf hMailServer 6.3.8

Umgehung

• Bis zur Aktualisierung nur ASCII-Namen für TLS-, CA-, Schlüssel-, DH- und ACME-Dateien sowie deren Ordner verwenden
• Client-Zertifikat-Authentifizierung auf Ports deaktivieren, falls nicht benötigt
• Objektspeicher und ACME deaktivieren, falls nicht benötigt
• Einschränken, wer in ProgramData-Verzeichnissen neben von Administratoren verwalteten TLS-Dateien Dateien oder Ordner anlegen kann

Ausnutzung

Unbekannt. Zum Zeitpunkt der Recherche wurden weder ein öffentlicher Exploit noch eine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle Windows-Installationen von hMailServer auf 6.3.8 aktualisieren
• Vor der Aktualisierung nicht-ASCII-Namen von TLS-bezogenen Dateien und Ordnern in ASCII-Namen umbenennen und den Start der TLS-Ports testen, da abgelehnte Dateien den Start eines TLS-Ports verhindern können
• Prüfen, ob Anmeldung per Client-Zertifikat, Objektspeicher-CA oder ACME aktiv ist, und nicht benötigte Funktionen bis zur Aktualisierung deaktivieren
• Das Anlegen von Dateien und Ordnern in ProgramData-Verzeichnissen mit TLS-Dateien einschränken

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• hMailServer 6.3.8 release page gitlab.com
• Work item 115: TLS files on Windows gitlab.com
• OffSeq: CVE-2026-126621 radar.offseq.com
• hMailServer 6.3.8 on GitHub github.com
• hMailServer 6.3.8 downloads (Progressive Robot) www.progressiverobot.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:24.