hMailServer: Ineffiziente algorithmische Komplexität im JSON-Reader
Zusammenfassung
hMailServer 6.3.6 und 6.3.7 enthalten einen JSON-Reader, dessen Prüfung auf doppelte Member-Namen quadratische Laufzeit hat, wenn die Namen so gewählt sind, dass sie im selben Hash-Bucket liegen. Ein entfernter Angreifer kann ein manipuliertes JSON-Objekt als TLS-RPT-Bericht an das Berichtspostfach einer gehosteten Domain senden oder andere erreichbare Wege nutzen, etwa die Antwort auf eine passwortgeschützte Nachricht oder die Send-API. Jede Anfrage belegt dann einen Mail-Zustellungsthread oder einen Worker-Thread der REST-API für Sekunden bis Minuten, wodurch die Zustellung aller Mails und die Verfügbarkeit von REST-API und Webmail gestört werden können. Es werden keine Daten gelesen oder verändert; die Auswirkung beschränkt sich auf die Verfügbarkeit.
Betroffen
- hMailServer 6.3.6 (Fork von Progressive Robot Ltd)
- hMailServer 6.3.7 (Fork von Progressive Robot Ltd)
- Nicht betroffen: das Original hMailServer von Martin Knafve, laut Hersteller
Behoben in
- hMailServer 6.3.8
Umgehung
- Bis zur Aktualisierung das Berichtspostfach jeder Domain leeren oder es von den vom Server gehosteten Domains wegverschieben.
- OpenPGP im Webmail ausschalten (portal_enabled unter /api/v1/settings/openpgp) und für jede Domain oder jedes Konto deaktivieren, bei dem openpgp_portal_enabled gesetzt ist.
- Das Leeren der öffentlichen Basis-URL reicht nicht aus, da bereits erstellte Links weiterhin nutzbar bleiben.
- Die REST-API ausgeschaltet lassen, sofern sie nicht benötigt wird; sie ist standardmässig ausgeschaltet.
Ausnutzung
- Der Hersteller hat die Auswirkung mit manipulierten Objekten auf den veröffentlichten Versionen gemessen.
- Zum Zeitpunkt der Erstellung ist keine aktive Ausnutzung bekannt.
Unsere Empfehlung
- Alle Server mit 6.3.6 oder 6.3.7 auf hMailServer 6.3.8 aktualisieren.
- Falls die Aktualisierung nicht sofort möglich ist, die oben genannten Workarounds anwenden.
- Prüfen, ob REST-API, Webmail oder TLS-RPT-Berichtspostfächer aus dem Internet erreichbar sind.
- Warteschlangen der Mail-Zustellung und die Verfügbarkeit der Dienste überwachen, um Hinweise auf blockierte Zustellung zu erkennen.
- Nach dem Update die Mail-Zustellung testen, da der Hersteller meldet, dass Nachrichten an bestimmte Domains in der Warteschlange hängen bleiben können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- hMailServer 6.3.8 release (vendor) gitlab.com
- JSON reader issue #111 (vendor) gitlab.com
- CVE-2026-107574 record (predecessor) www.cve.org
- hMailServer 6.3.8 downloads (vendor) www.progressiverobot.com
- CVE-2026-126623 mirror (threatint) cve.threatint.com
- CVE-2026-126623 aggregator (offseq) radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.