Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.0.0 tot en met 6.3.5
- Oplossing
- Update beschikbaar
- Opgeloste versie
- hMailServer 6.3.6
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de REST API-listener van hMailServer ontbreekt een controle op de Host-header. Ook worden mislukte beheerderslogins niet vertraagd of geblokkeerd. Daardoor kan een aanvaller via DNS-rebinding het beheerderswachtwoord blijven proberen, en bij succes krijgt hij volledige controle over de mailserver.
Wie loopt risico?
Je loopt alleen risico als je hMailServer 6.0.0 tot en met 6.3.5 draait en de REST API-listener hebt aangezet. Die staat standaard uit en luistert dan alleen op de loopback. De aanval werkt als iemand op de server zelf een kwaadaardige webpagina opent in een browser. Het lek is dus vooral een risico als op de mailserver ook gebrowsed wordt.
Wat moet je doen?
Controleer je versie en instellingen
Kijk of je hMailServer gebruikt in een versie van 6.0.0 tot en met 6.3.5. Controleer ook of de REST API-listener is ingeschakeld.
Werk bij
Installeer hMailServer 6.3.6, zoals vermeld op de releasepagina van de leverancier.
Zet de REST API uit als je die niet nodig hebt
Is de listener niet nodig, laat hem dan uitgeschakeld. Dat is de standaardinstelling.
Surf niet op de mailserver
Open op de server zelf geen webpagina's in een browser, zeker geen onbekende. Gebruik daarvoor een andere computer.
Overweeg je beheerderswachtwoord te wijzigen
Vermoed je dat er misbruik is geweest, wijzig dan het beheerderswachtwoord en controleer de instellingen van de server.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De REST API-listener van hMailServer valideert de Host-header van binnenkomende verzoeken niet en beantwoordt ze ongeacht de opgegeven hostnaam. Daarnaast worden mislukte beheerderslogins vanaf de loopback niet automatisch geblokkeerd (auto-ban) en ook niet vertraagd. Een aanvaller kan een hostnaam laten verwijzen naar 127.0.0.1 via DNS-rebinding. Opent de beheerder die pagina in een browser op de server, dan kan de pagina geauthenticeerde verzoeken naar de listener sturen en de antwoorden lezen. Zo kunnen beheerderswachtwoorden op volle snelheid worden geprobeerd tot er een wordt geaccepteerd.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-346 · Onjuiste validatie van de herkomst van een verzoek
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee