Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.0.0 tot en met 6.3.3
- Oplossing
- Update beschikbaar
- Opgeloste versie
- hMailServer 6.3.4
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de mailserver hMailServer zit een fout in een oudere routine voor Blowfish-ontsleuteling. Die routine zet een lange hexadecimale tekenreeks om naar een vaste buffer van 255 bytes, zonder de lengte te controleren. Daardoor kan iemand gegevens naar geheugen buiten die buffer schrijven. Het gevolg is dat de service kan crashen, en mogelijk dat code wordt uitgevoerd met de rechten van het serviceaccount.
Wie loopt risico?
Je loopt risico als je hMailServer 6.0.0 tot en met 6.3.3 op Windows draait. De aanvaller moet lokaal op de server zijn ingelogd, maar heeft geen hMailServer-inloggegevens nodig. De service draait standaard als LocalSystem, dus misbruik kan grote gevolgen hebben op servers waar meerdere mensen of programma's lokaal kunnen inloggen. Er zijn in de gegevens geen aanwijzingen dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van hMailServer je gebruikt. Versies 6.0.0 tot en met 6.3.3 zijn getroffen.
Werk bij naar 6.3.4
Installeer hMailServer 6.3.4, de release waarin dit probleem is opgelost. Maak vooraf een back-up van je configuratie en gegevens.
Beperk lokale toegang
Zolang je niet bijgewerkt hebt, beperk je wie lokaal kan inloggen op de server. Geef alleen mensen die dat echt nodig hebben toegang.
Controleer de service na de update
Kijk na het bijwerken of de hMailServer-service normaal start en draait.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De functie BlowFishEncryptor::DecryptFromString in de oudere Blowfish-routine zet hexadecimale invoer van willekeurige lengte om naar een vaste heapbuffer van 255 bytes en ontsleutelt die daarna ter plekke. Omdat de lengte van de invoer niet wordt begrensd, kan een aanvaller bytes naar keuze voorbij het einde van de buffer schrijven. De routine is bereikbaar via de COM-methode Utilities.BlowfishDecrypt, die geen authenticatie controleerde. Een lokale gebruiker kan zo het hMailServer-serviceproces beïnvloeden, dat standaard als LocalSystem draait. Het gevolg is een denial of service door een crash en mogelijk uitvoering van code met de rechten van het serviceaccount.
CVSS-vector (versie 3.1, basisscore 7,8, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-122 · Heap-gebaseerde bufferoverloop
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee