Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.3.4, 6.3.5
- Oplossing
- Nog geen oplossing
- Opgeloste versie
- Nog geen update
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In hMailServer 6.3.4 en 6.3.5 voor Linux draait de hulpmodule voor live-updates (hmailserver-update) als root. Die module leest een verzoekbestand dat het minder bevoorrechte serviceaccount hmailserver zelf kan schrijven. Uit dat bestand haalt de module het programma waarmee de handtekening van een AppImage-update wordt gecontroleerd, en de systemd-unit die gestopt moet worden. Hierdoor kan iemand met dat serviceaccount willekeurige code als root laten uitvoeren.
Wie loopt risico?
Het lek is alleen te misbruiken door een aanvaller die al code uitvoert als het serviceaccount hmailserver, bijvoorbeeld via een ander lek in de mailserver. Het risico geldt voor Linux-installaties waarop de path-unit van de live-update actief is. Dat is de standaardinstelling van de .deb- en .rpm-pakketten van het project. Ook AppImage-installaties die onder die unit draaien zijn getroffen. Er is geen melding van actief misbruik.
Wat moet je doen?
Nog geen update beschikbaar
De leverancier werkt eraan. Hieronder lees je hoe je het risico tot die tijd kleiner maakt.
Controleer je versie
Kijk na of je hMailServer op Linux gebruikt en of het om versie 6.3.4 of 6.3.5 gaat.
Bekijk de release 6.3.6
In de referenties staat een release 6.3.6 van hMailServer. Lees de release-notes en het bijbehorende meldingsitem om te controleren of dit lek daarin is opgelost, en werk dan bij.
Volg het advies van de leverancier
Er is in de gegevens geen tijdelijke maatregel genoemd. Volg daarom de aanwijzingen van het hMailServer-project.
Beperk de kans op een eerste toegang
Een aanvaller heeft al toegang als het serviceaccount hmailserver nodig. Houd de mailserver en bijbehorende software daarom bijgewerkt en beperk de blootstelling aan internet waar dat kan.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De helper hmailserver-update draait als root en verwerkt een verzoekbestand dat is geschreven door het niet-bevoorrechte serviceaccount hmailserver. Uit dat bestand neemt de helper het programma dat de handtekening van een AppImage-update controleert en de systemd-unit die gestopt moet worden. Dit gebeurt voordat de bestanden van het serviceaccount worden gelezen. Omdat deze waarden uit een door een lagere gebruiker beheerd bestand komen, kan een aanvaller een eigen programma laten uitvoeren met rootrechten. De kwetsbaarheid is lokaal en heeft lage rechten nodig (CVSS-vector AV:L/PR:L), met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. Het lek speelt bij installaties waar de path-unit van de live-update actief is, en bij AppImage-installaties die onder die unit draaien.
CVSS-vector (versie 3.1, basisscore 7,8, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-807 · Vertrouwen op onbetrouwbare invoer bij een beveiligingsbeslissing
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee