Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.0.0 tot en met 6.3.5 (alleen Windows)
- Oplossing
- Nog geen oplossing
- Opgeloste versie
- Nog geen update
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In hMailServer voor Windows ontbreekt een controle op wie de COM-objecten van de service mag gebruiken. Daardoor kan een lokale gebruiker zonder hMailServer-inloggegevens bestanden lezen en schrijven met de rechten van het serviceaccount. Ook kan zo'n gebruiker e-mail in de wachtrij zetten met een willekeurig afzenderadres. De ernst is hoog (7,8).
Wie loopt risico?
Je loopt risico als je hMailServer 6.0.0 tot en met 6.3.5 op Windows draait. De aanvaller moet lokaal ingelogd zijn op de server, aan de console of via Remote Desktop. Draait de service als LocalSystem, dan kan de aanvaller via het wegschrijven van bestanden code uitvoeren als SYSTEM. In de gegevens staat niet dat het lek actief wordt misbruikt of dat er publieke exploitcode is.
Wat moet je doen?
Nog geen update beschikbaar
De leverancier werkt eraan. Hieronder lees je hoe je het risico tot die tijd kleiner maakt.
Controleer of je hMailServer gebruikt
Kijk na of je ergens hMailServer op Windows draait en welke versie dat is. Versies 6.0.0 tot en met 6.3.5 zijn getroffen.
Bekijk de release 6.3.6
In de referenties staat de release v6.3.6 van hMailServer. Lees de release-notes en volg het advies van de leverancier om bij te werken.
Beperk lokale toegang tot de server
Geef alleen vertrouwde beheerders de mogelijkheid om aan de console of via Remote Desktop op de server in te loggen. Dit verkleint de kans dat iemand het lek kan misbruiken.
Controleer ongebruikelijke activiteit
Kijk of er onverwachte e-mail in de wachtrij staat of onverwachte ophaalaccounts zijn aangemaakt. Controleer ook of er bestanden zijn verschenen of gewijzigd op plekken waar je ze niet verwacht.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De service van hMailServer registreert zijn COM-klassen zonder DCOM-toegangs- of startrechten en roept CoInitializeSecurity aan zonder beveiligingsdescriptor. Daardoor kan elke gebruiker die op de server is ingelogd de klassen activeren in de draaiende service. Objecten als hMailServer.Message, Attachments, Attachment en hMailServer.FetchAccount dragen dan een credential die nooit is geauthenticeerd. Attachments.Add(path) en Attachment.SaveAs(path) voeren geen autorisatiecontrole uit. Message.Save/Copy en FetchAccount.AccountID/Save deden dat tot en met 6.3.3 ook niet, en vanaf 6.3.4 behandelt de service een houder zonder credential als de eigen event-scripthost. De service impersoneert de COM-aanroeper niet, dus Attachments.Add leest elk bestand dat het serviceaccount kan lezen en SaveAs schrijft naar elk pad waar dat account naartoe kan schrijven. Message.Save zet uitgaande e-mail van elk adres in de wachtrij voorbij de SMTP-controles, en FetchAccount koppelt een ophaaltaak aan elke mailbox.
CVSS-vector (versie 3.1, basisscore 7,8, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-862 · Ontbrekende autorisatie
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee