Mailu: Domain-Manager können Spoofing für fremde gehostete Domains aktivieren
Zusammenfassung
Mailu ist ein als Docker-Images verteilter Mailserver. Vor dem Fix-Commit kann ein Domain-Manager das Flag allow_spoofing für Benutzer setzen und so das Spoofing von Absendern auf gehosteten Domains erlauben, die er nicht verwaltet. Nachrichten können so DKIM- und SPF-Prüfungen für diese Domains bestehen, was Phishing von vertrauenswürdigen Domains erleichtert. Für den Angriff ist ein gültiges Domain-Manager-Konto (hohe Privilegien) nötig.
Betroffen
- Mailu-Versionen vor Commit f05aeb8322e2f61096af6b089d61ba6f40587d96
- Genaue veröffentlichte Versionen: Unbekannt.
Behoben in
- Commit f05aeb8322e2f61096af6b089d61ba6f40587d96 beschränkt allow_spoofing auf die eigene Domain des Absenders.
- Erste korrigierte Version: Unbekannt. Prüfen Sie die Release Notes von Mailu und GHSA-crww-m82r-2wfm.
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
- Teilmassnahme: Rechte von Domain-Managern einschränken und prüfen, welche Benutzer allow_spoofing aktiviert haben.
Ausnutzung
- Keine bestätigte Ausnutzung in der Praxis. Status im CISA KEV nicht gefunden.
- CISA SSVC: Exploitation PoC, nicht automatisierbar.
- Status eines öffentlichen PoC ist nicht verifiziert.
- EPSS ist niedrig (etwa 0,003).
Unsere Empfehlung
- Prüfen Sie, ob Ihre Mailu-Instanz mehrere Domains mit delegierten Domain-Managern hostet.
- Aktualisieren Sie auf die erste Mailu-Version mit Commit f05aeb8 und patchen Sie gleichzeitig CVE-2026-86008.
- Überprüfen Sie jetzt Domain-Manager-Konten und die allow_spoofing-Einstellungen.
- Prüfen Sie die Mail-Logs auf unerwartete From-Domains.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mailu fix commit f05aeb8 github.com
- Mailu issue #2686 github.com
- Mailu pull request #4072 github.com
- GitHub Security Advisory GHSA-crww-m82r-2wfm github.com
- CVE-2026-86009 on Vulners vulners.com
- CVE-2026-86009 on threatint cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.