hMailServer: Fehlerhafte Standardberechtigungen im Windows-Installer
Zusammenfassung
hMailServer 6.3.7 für Windows setzt im Installer fehlerhafte Standardberechtigungen. Wenn der Server in einen bestehenden Ordner installiert wird, auf den andere Konten schreiben können, etwa ein Ordner, der im Stammverzeichnis eines Laufwerks angelegt wurde, kann ein lokaler authentifizierter Benutzer Code mit den Rechten des Administrators ausführen, der das Setup startet. Die Standardinstallation unter Program Files ist nicht betroffen.
Betroffen
- hMailServer 6.3.7 (gemäss CVE-Eintrag)
- Installationen in einen bereits bestehenden Programmordner, der nicht von Administratoren beschreibbar ist
Behoben in
- hMailServer 6.3.8 (gemäss CVE-Referenzen)
Umgehung
- Nur unter Program Files oder in einen neuen Ordner innerhalb eines Speicherorts installieren, den nur Administratoren ändern dürfen.
- Bei bestehenden Installationen ausserhalb von Program Files die Berechtigungen des Programmordners, von Bin und ControlPanel vor dem Upgrade prüfen.
Ausnutzung
- Der Angriff erfordert ein lokales, authentifiziertes Konto.
- Es ist nicht bekannt, dass die Lücke in freier Wildbahn ausgenutzt wird; es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle hMailServer-Installationen mit Version und Installationspfad erfassen.
- Installationen bis 6.3.7 auf 6.3.8 aktualisieren.
- Dateiberechtigungen vor und nach dem Upgrade von Installationen ausserhalb von Program Files prüfen; bei Bedarf in einen nur für Administratoren beschreibbaren Speicherort neu installieren.
- Lokale Anmeldungen auf dem Mailserver auf vertrauenswürdige Konten beschränken und Änderungen im hMailServer-Programmordner überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- hMailServer 6.3.8 release (GitLab) gitlab.com
- Work item #78 (GitLab) gitlab.com
- CVE-2026-107571 record (CVE.org) www.cve.org
- CVE-2026-126622 entry (OffSeq) radar.offseq.com
- CVE-2026-126622 entry (ThreatInt) cve.threatint.com
- hMailServer 6.3.8 release mirror (GitHub) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:28.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.