Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.0.0 tot en met 6.3.5
- Oplossing
- Update beschikbaar
- Opgeloste versie
- hMailServer 6.3.6
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
hMailServer is mailserversoftware. In de versies 6.0.0 tot en met 6.3.5 dwingt de server bij het versturen van e-mail niet altijd versleuteling (TLS) af, ook al hoort dat volgens de DANE-regels voor SMTP (RFC 7672). Bij sommige DANE-instellingen van de ontvangende mailserver valt hMailServer terug op versleuteling die niet verplicht is. Daardoor kan een mail onversleuteld worden verstuurd.
Wie loopt risico?
Je loopt risico als je hMailServer 6.0.0 tot en met 6.3.5 gebruikt om e-mail te versturen naar mailservers die DANE gebruiken zonder een DANE-EE-record. Misbruik kan alleen door een aanvaller die actief op het netwerkpad tussen jouw server en de ontvangende mailserver zit. Dat maakt de aanval lastiger uit te voeren. In dat geval kan de aanvaller de berichten lezen en aanpassen.
Wat moet je doen?
Controleer je versie
Kijk na of je hMailServer gebruikt en welke versie er draait. Versies 6.0.0 tot en met 6.3.5 zijn getroffen.
Werk hMailServer bij
Installeer versie 6.3.6, die in de referenties van de melding als release genoemd wordt. Die versie hoort bij de oplossing van dit probleem.
Volg het advies van de leverancier
Lees de releasenotities en de bijbehorende melding van hMailServer voor aanvullende informatie. Tot je bijgewerkt hebt, kun je het risico verkleinen door te zorgen dat het netwerkverkeer van je mailserver niet over onbetrouwbare netwerken loopt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
hMailServer gebruikte bij uitgaande SMTP-bezorging alleen DANE-EE-records (usage 3) uit de met DNSSEC gevalideerde TLSA-records. Een gevalideerde set met DANE-TA-records (usage 2) of andere onbruikbare records werd behandeld alsof er geen records waren gepubliceerd. Daardoor viel de server terug op opportunistische TLS, in strijd met RFC 7672 paragraaf 2.2. Een aanvaller met een actieve positie op het netwerkpad kan de STARTTLS-onderhandeling onderdrukken of verstoren, waarna het bericht in leesbare tekst wordt afgeleverd. De berichten zijn dan te lezen en te wijzigen. De CVSS-vector (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N) beschrijft een aanval via het netwerk met hoge complexiteit, zonder rechten of gebruikersinteractie.
CVSS-vector (versie 3.1, basisscore 7,4, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-319 · Overdracht van gevoelige gegevens in leesbare tekst
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee