CVE-2026-114476
Incorrect Authorization in hMailServer
Что произошло
Incorrect authorization in the REST administration API of Progressive Robot hMailServer 6.3.4 through 6.3.6 allows a remote authenticated user whose credential holds the manage_roles permission in named domains - a full-scope API key issued for those domains, or an account assigned the serveradmin role with a list of domains - to obtain the server administrator's authority. An account's admin level gives it authority, and a role assigned to it replaces that authority, which is how an administrator narrows an account whose admin level is the server administrator's. The route that takes a role away (DELETE /api/v1/role-assignments/{address}) checked only that the credential takes in what the account held at the time, not what it would hold afterwards, so such a credential could take a narrowing role away from an account in its domains whose admin level is the server administrator's, returning it to the server administrator's authority, and, having set that account's password while it held the narrower role, sign in as the server administrator.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Upgrade to hMailServer 6.3.7, in which a role is given or taken away, over the REST and the COM APIs, only by a credential that holds manage_roles in the account's domain and takes in both what the account holds now and what it will hold afterwards - with no role left, the authority of its admin level - so a credential confined to named domains is refused taking a role away from an account whose admin level is the server administrator's. Until then, give an account that a role narrows the admin level its role intends rather than the server administrator's, do not issue a full-scope API key, or assign serveradmin, confined to named domains to a party not trusted with the whole server, and review the role assignments and the accounts whose admin level is the server administrator's (after upgrading as well, since an upgrade does not give back a role already taken away).
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
Progressive Robot Ltd / hMailServer
{
"status": "affected",
"version": "6.3.4",
"versionType": "semver",
"lessThanOrEqual": "6.3.6"
}CVSS: оценки и векторы
CVSS 3.1 · cve7.5
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS 3.1 · cve@gitlab.com7.5
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"nvd"
],
"epss": {
"source": "epss",
"received_at": "2026-11-03T21:11:56.263941+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-29T21:10:51.503216+00:00"
},
"scores": [
"cve",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-29T21:10:51.503216+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-10-29T21:10:51.503216+00:00"
},
"solutions": [
"cve"
],
"percentile": {
"source": "epss",
"received_at": "2026-11-03T21:11:56.263941+00:00"
},
"references": [
"cve",
"nvd"
],
"description": {
"source": "cve",
"received_at": "2026-10-29T21:10:51.503216+00:00"
},
"workarounds": [],
"configurations": []
}Хронология записи
- Данные обновлены04.11.2026, 00:11
- Данные обновлены03.11.2026, 00:11
- Данные обновлены02.11.2026, 00:09
- Данные обновлены31.10.2026, 11:57
- Данные обновлены30.10.2026, 16:50
- Данные обновлены30.10.2026, 00:37
- Данные обновлены29.10.2026, 11:15
- Опубликована28.10.2026, 21:39
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-114490 Incorrect Authorization in hMailServer Progressive Robot Ltd / hMailServer | Высокий | 7.8 | 0,11 % | 21.10.2026 | ||
| CVE-2026-114489 Missing Authorization in hMailServer Progressive Robot Ltd / hMailServer | Высокий | 8.1 | 0,27 % | 21.10.2026 | ||
| CVE-2026-114478 Unintended Proxy or Intermediary ('Confused Deputy') in hMailServer Progressive Robot Ltd / hMailServer | Средний | 5.9 | 0,26 % | 21.10.2026 | ||
| CVE-2026-114477 Missing Authorization in hMailServer Progressive Robot Ltd / hMailServer | Средний | 4.3 | 0,21 % | 21.10.2026 | ||
| CVE-2026-114475 Missing Authorization in hMailServer Progressive Robot Ltd / hMailServer | Средний | 6.5 | 0,24 % | 21.10.2026 |