Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.0.0 t/m 6.3.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- hMailServer 6.3.7
- CVE gepubliceerd
- 19 oktober 2026
- Gepubliceerd op LekkenRadar
- 19 oktober 2026
- Laatst gewijzigd bij NVD
- 19 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In hMailServer zit een fout in de beveiliging tegen eindeloze mailcycli, zoals doorsturen of automatische antwoorden. De server telt hoe vaak een bericht is doorgestuurd in de header X-hMailServer-LoopCount en stopt bij de ingestelde limiet (standaard 5). Een aanvaller van buiten kan die teller met een negatieve of te grote waarde omzeilen, waardoor een mailcyclus bijna eindeloos doorloopt. De wachtrij en de schijf lopen dan vol en de server kan geen mail meer afleveren.
Wie loopt risico?
Je loopt risico als je hMailServer gebruikt in een versie van 6.0.0 tot en met 6.3.6 en de server mail van buiten accepteert. De aanvaller hoeft niet in te loggen. Het gaat om een bericht dat in een cyclus van gegenereerde mail terechtkomt, bijvoorbeeld door doorsturen, een automatisch antwoord of een bounce. Ook een account kan de teller op eigen mail terugzetten met een Sieve-editheader of een regelactie voor het instellen van een headerwaarde.
Wat moet je doen?
Controleer je versie
Ga na of je hMailServer gebruikt en welke versie draait. Versies van 6.0.0 tot en met 6.3.6 zijn getroffen.
Werk bij naar 6.3.7
Installeer hMailServer 6.3.7. Zie de release-informatie en meldingsitem 81 op GitLab voor de details.
Houd wachtrij en schijfruimte in de gaten
Controleer of de mailwachtrij ongewoon snel groeit of de schijf bijna vol raakt. Dat kan wijzen op een mailcyclus die niet stopt.
Werk ook de andere lekken bij
Versie 6.3.7 lost ook twee andere lekken op: vervalste DKIM-handtekeningen (CVE-2026-107567, https://lekkenradar.nl/cve/cve-2026-107567/) en onjuiste mappenrechten (CVE-2026-107571, https://lekkenradar.nl/cve/cve-2026-107571/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De header X-hMailServer-LoopCount wordt niet verwijderd bij binnenkomende mail van buiten. De server leest de waarde met een getekende conversie zonder validatie, zodat een negatieve waarde elke controle tegen de limiet voor regelcycli passeert. Op de Linux-builds wordt een waarde boven het 32-bit getekende bereik omgezet naar een negatieve waarde, met hetzelfde effect. Een bericht in een cyclus van gegenereerde mail kan dan tot ongeveer twee miljard keer doorlopen, waarbij elke ronde een bericht in de wachtrij en een aflevering oplevert. De Sieve-actie notify (vanaf 6.2.22) controleerde geen limiet en de verhoging van de teller kon een getekend geheel getal laten overlopen. Een account kan de teller bovendien terugzetten via een Sieve-editheader (vanaf 6.2.22) of de regelactie Set header value (alle versies) vóór een forward of redirect.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Zwakheid (CWE)
- CWE-606 · Ongecontroleerde invoer voor een lusvoorwaarde
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Nee