hMailServer: Zu restriktive Kontosperre blockiert Mail-Listener
Zusammenfassung
Der Web-Services-Listener von hMailServer 6.3.3 bis 6.3.7 (CardDAV, CalDAV und Outlook Autodiscover) zählt fehlgeschlagene Anmeldungen, die über einen vertrauenswürdigen oder lokalen, TLS-terminierenden Proxy eintreffen, gegen die eigene IP-Adresse des Proxys. Ein entfernter, nicht authentifizierter Angreifer, der diesen Proxy erreichen kann, kann eine automatische Sperre der Proxy-Adresse auslösen, die diese Adresse standardmässig für 60 Minuten von den Listenern für SMTP, POP3, IMAP und ManageSieve ausschliesst; die Sperre kann erneuert werden. Betroffen sind lokale Webmail-Dienste und Skripte auf demselben Host sowie alle Mail-Clients hinter einem Proxy mit anderer Adresse; der Web-Services-Listener selbst bedient den Proxy weiterhin. Das Problem betrifft nur Installationen, bei denen der Web-Services-Listener aktiviert ist, was standardmässig nicht der Fall ist.
Betroffen
- hMailServer 6.3.3 bis 6.3.7
- CardDAV ab 6.3.3, CalDAV und Autodiscover ab 6.3.4
- Nur bei aktiviertem Web-Services-Listener (WebServicesHttpPort oder WebServicesHttpsPort ungleich 0) hinter einem TLS-terminierenden Proxy
Behoben in
- Behoben in hMailServer 6.3.8
- Laut Hersteller werden 6.3.4 bis 6.3.7 auf 6.3.8 aktualisiert
Umgehung
- Proxy-Adresse zu AutoBanNeverBan hinzufügen (127.0.0.1 und ::1 bei einem Proxy auf demselben Rechner); dadurch entfällt der Brute-Force-Schutz für diese Adresse
- Mit einer Sperre pro Benutzername (AccountLockoutThreshold) und Ratenbegrenzung am Reverse Proxy kompensieren
- Falls CalDAV, CardDAV und Autodiscover nicht genutzt werden, WebServicesHttpPort und WebServicesHttpsPort auf 0 setzen
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus
Unsere Empfehlung
- Auf hMailServer 6.3.8 aktualisieren, wo der Web-Services-Listener aktiviert ist
- Web-Services-Listener deaktivieren, falls CalDAV, CardDAV und Autodiscover nicht genutzt werden
- Bis zur Aktualisierung den AutoBanNeverBan-Workaround mit Sperre pro Benutzername und Ratenbegrenzung am Proxy anwenden
- Auto-Ban-Protokoll auf gesperrte Proxy-Adressen prüfen und fehlgeschlagene Anmeldungen am Proxy überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- hMailServer 6.3.8 release page gitlab.com
- GitLab issue #106: Web services listener auto-ban of trusted proxy gitlab.com
- CVE Record CVE-2026-126626 www.cve.org
- VulDB CVE-2026-126626 vuldb.com
- OffSeq radar: web services listener counts failed CardDAV sign-ins radar.offseq.com
- Progressive Robot hMailServer downloads www.progressiverobot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.