Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.0.0 t/m 6.3.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- hMailServer 6.3.7
- CVE gepubliceerd
- 19 oktober 2026
- Gepubliceerd op LekkenRadar
- 19 oktober 2026
- Laatst gewijzigd bij NVD
- 19 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
hMailServer ondertekent met DKIM elk bericht met de sleutel van het domein dat in het Van-veld (From) staat, zonder te controleren of de afzender is ingelogd. Een aanvaller kan daardoor als gewone inkomende mail een bericht sturen met een From-adres van een domein dat de server host. De server zet er dan de geldige handtekening van dat domein onder. Als de server dat bericht doorstuurt naar een extern adres, komt het bij andere ontvangers door de DKIM- en DMARC-controle.
Wie loopt risico?
Je loopt risico als je hMailServer 6.0.0 tot en met 6.3.6 gebruikt en DKIM-ondertekening hebt ingeschakeld voor een gehost domein. Standaard staat DKIM-ondertekening uit. Een vervalst bericht verlaat de server alleen als er een doorstuurregel, alias, lijst of regel is die mail naar een extern adres brengt. Ook kan een account van het ene gehoste domein mail laten ondertekenen met de sleutel van een ander gehost domein. Dat speelt vooral als je de instelling SmtpAuthenticatedSenderCheck hebt ingeschakeld, want die staat standaard uit.
Wat moet je doen?
Controleer of je getroffen bent
Kijk of je hMailServer gebruikt, welke versie draait (6.0.0 tot en met 6.3.6 is getroffen) en of DKIM-ondertekening aanstaat voor een gehost domein.
Werk bij naar 6.3.7
Installeer hMailServer 6.3.7. Zie de release-informatie en meldingsitem 84 op GitLab voor de details.
Beperk de blootstelling
Kun je niet direct bijwerken, controleer dan welke doorstuurregels, aliassen, lijsten en regels mail naar externe adressen sturen en haal weg wat je niet nodig hebt.
Overweeg een nieuwe DKIM-sleutel
Had je DKIM-ondertekening al langer aan, dan kan je sleutel voor vervalste berichten zijn gebruikt. Overweeg na de update een nieuwe DKIM-sleutel aan te maken en die in DNS te publiceren.
Werk ook de andere lekken bij
Versie 6.3.7 lost ook twee andere lekken op: onjuiste mappenrechten (CVE-2026-107571, https://lekkenradar.nl/cve/cve-2026-107571/) en een eindeloze mailloop (CVE-2026-107569, https://lekkenradar.nl/cve/cve-2026-107569/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De DKIM-ondertekening in hMailServer gebruikt het From-veld in het bericht als bron om te bepalen met welke domeinsleutel er wordt getekend. Dat veld is een weinig betrouwbare bron. De server ondertekende elk bericht tijdens de eerste aflevering, vóór lokale aflevering, ongeacht de herkomst en zonder te controleren of de afzender was geauthenticeerd. Een ongeauthenticeerde externe aanvaller kan zo mail laten ondertekenen met de sleutel van een gehost domein, en elke kopie die naar een extern adres gaat draagt dan een geldige handtekening. Bij geauthenticeerde SMTP-verzending gold hetzelfde: een account van het ene gehoste domein kon mail laten ondertekenen met de sleutel van een ander gehost domein. De kwetsbaarheid heeft CVSS-score 7,5 (vector AV:N/AC:L/PR:N/UI:N) en raakt de integriteit.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N- Zwakheid (CWE)
- CWE-348 · Gebruik van een minder betrouwbare bron
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee