Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.0.0 t/m 6.3.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- hMailServer 6.3.7
- CVE gepubliceerd
- 19 oktober 2026
- Gepubliceerd op LekkenRadar
- 19 oktober 2026
- Laatst gewijzigd bij NVD
- 19 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
De Windows-installer van hMailServer stelt voor de programmamap en de map Bin geen eigen rechten in. Die mappen nemen daardoor de rechten over van de map erboven. Staat hMailServer bijvoorbeeld in de hoofdmap van een schijf, dan kunnen gewone gebruikers daar vaak bestanden wijzigen of toevoegen. Een lokale gebruiker zonder beheerrechten kan daarmee code laten draaien met de hoge rechten van de mailserver.
Wie loopt risico?
Je loopt risico als je hMailServer 6.0.0 tot en met 6.3.6 op Windows hebt geïnstalleerd in een map die schrijfrechten overneemt van een bovenliggende map, zoals de hoofdmap van een NTFS-schijf. Een aanvaller heeft al een gewoon account op de server of pc nodig. De standaardlocatie Program Files is volgens de gegevens niet getroffen.
Wat moet je doen?
Controleer waar hMailServer staat
Kijk op welke schijf en in welke map hMailServer is geïnstalleerd. Staat het in Program Files, dan is deze installatie volgens de gegevens niet getroffen.
Controleer de rechten op de programmamap
Staat hMailServer elders, bijvoorbeeld in de hoofdmap van een schijf, kijk dan of gewone gebruikers schrijfrechten hebben op de programmamap en de map Bin. Haal die rechten weg, zodat alleen beheerders en SYSTEM er mogen schrijven.
Werk bij naar 6.3.7
Installeer hMailServer 6.3.7. Zie de release-informatie en meldingsitem 78 op GitLab voor de details.
Werk ook de andere lekken bij
Versie 6.3.7 lost ook twee andere lekken op: vervalste DKIM-handtekeningen (CVE-2026-107567, https://lekkenradar.nl/cve/cve-2026-107567/) en een eindeloze mailloop (CVE-2026-107569, https://lekkenradar.nl/cve/cve-2026-107569/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De installer plaatst de programma's van hMailServer in de map Bin van de programmamap en stelt op die mappen geen eigen toegangsrechten in, waardoor ze de rechten van de bovenliggende map erven. De installer accepteert elk pad zonder waarschuwing. In de hoofdmap van een NTFS-volume erft de programmamap schrijfrechten voor een brede groep: Authenticated Users (Modify) op een Windows-client en Users (bestanden en mappen maken) op Windows Server. Een lokale gebruiker zonder beheerrechten kan dan het serviceprogramma vervangen, dat draait als LocalSystem of als het virtuele account van de service. Ook programma's in Bin die een beheerder tijdens installatie en onderhoud met verhoogde rechten start, kunnen worden aangepast. Daarnaast kan een bibliotheek in Bin worden geplaatst die zo'n programma laadt in plaats van de systeemkopie. Het gevolg is code-uitvoering met hoge rechten.
CVSS-vector (versie 3.1, basisscore 7,8, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-276 · Onjuiste standaardmachtigingen
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee