CVE-2026-107587
Açıklama
Progressive Robot hMailServer 6.3.2 ile 6.3.5 arasındaki sürümlerin webmail özelliğindeki hatalı sertifika doğrulaması, kimliği doğrulanmamış uzak bir saldırganın, hesabın daha sonra başka bir yazışmacıya gönderdiği S/MIME şifreli e-postaların aynı zamanda saldırganın anahtarıyla da şifrelenmesine olanak tanır. Alıcı imzalı bir iletiyi açtığında, webmail; sunucunun zinciri güvenilir bulup bulmadığına bakmaksızın, imzalayanın sertifikasını yanıtları şifrelemek için saklamıştır. Bu işlem, mesajın From adresi yerine sertifikada listelenen ilk e-posta adresi altında ve o adres için halihazırda tutulan herhangi bir sertifikanın yanına eklenerek gerçekleştirilmiştir. Daha sonra webmail üzerinden bu adrese gönderilen şifreli postalar, o adres için tutulan her sertifika ile şifrelendiğinden, saklanan sertifikanın anahtar sahibi böyle bir mesajın kopyasını elde ederse içeriği okuyabilir.
Nasıl düzeltilir
- Progressive Robot Ltd hMailServer6.3.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Progressive Robot Ltd hMailServer | 6.3.2 ≤ v < 6.3.6 | 6.3.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.