Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.0.0 tot en met 6.3.5
- Oplossing
- Update beschikbaar
- Opgeloste versie
- hMailServer 6.3.6
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
hMailServer controleert bij uitgaande e-mail met DANE (RFC 7672) of de ontvangende mailserver een geldig certificaat gebruikt. Bij bepaalde DNS-problemen, zoals ontbrekende antwoorden, een SERVFAIL-fout of een antwoord zonder handtekening, behandelt de software het domein ten onrechte als niet ondertekend. DANE wordt dan niet toegepast, terwijl het domein wel met DNSSEC is beveiligd. Daardoor kan e-mail onversleuteld of naar een andere server dan bedoeld worden verstuurd.
Wie loopt risico?
Je loopt risico als je hMailServer 6.0.0 tot en met 6.3.5 gebruikt om e-mail te versturen. Een aanvaller moet DNS-antwoorden kunnen tegenhouden, vervalsen of verwijderen en tegelijk een actieve positie op het SMTP-pad hebben. Dat is lastig, maar bij een geslaagde aanval kunnen berichten worden gelezen en aangepast.
Wat moet je doen?
Controleer je versie
Kijk na of je hMailServer gebruikt en of het om een versie van 6.0.0 tot en met 6.3.5 gaat.
Werk bij naar 6.3.6
Installeer hMailServer 6.3.6, de release die in de verwijzingen van de melding wordt genoemd.
Beperk de blootstelling tot die tijd
Gebruik een vertrouwde DNS-resolver en een beveiligde netwerkverbinding voor je mailserver, zodat het lastiger wordt om DNS-antwoorden te manipuleren.
Lees de release-informatie
Bekijk de release-opmerkingen van hMailServer 6.3.6 en het bijbehorende meldingsitem voor details over de oplossing.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
hMailServer 6.0.0 tot en met 6.3.5 past DANE (RFC 7672) bij uitgaande SMTP-aflevering toe op een manier die bij fouten openstaat (fail open). De validerende DNSSEC-resolver behandelt een TLSA- of MX-opzoeking die niet voltooid wordt, een antwoord zonder de gevraagde records en zonder NSEC/NSEC3-bewijs van afwezigheid, en een antwoord zonder toepasbare RRSIG alsof het ontvangende domein niet ondertekend is. Vanaf 6.2.19 werd bovendien afgeleverd aan mailservers uit een niet-gevalideerde MX-opzoeking die niet in de DNSSEC-gevalideerde MX-set voorkwamen. Een aanvaller die DNS-antwoorden kan weglaten, vervalsen of verwijderen en een actieve positie op het SMTP-pad heeft, kan DANE zo uitschakelen voor een ondertekend domein. Berichten worden dan onversleuteld of naar een door de aanvaller gekozen host met een willekeurig certificaat afgeleverd. De CVSS-vector (AV:N/AC:H/PR:N/UI:N) geeft aan dat de aanval via het netwerk kan, maar complex is.
CVSS-vector (versie 3.1, basisscore 7,4, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-636 · Niet veilig falen (fail open)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee