- Yama var
- Son 7 gün
- CWE-532
CVE-2026-114471
hMailServer SMTP günlük dosyasında kimlik bilgilerinin açığa çıkması
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitLab
ÖzetTürkçe
Progressive Robot hMailServer 6.0.0 ile 6.3.6 arasındaki sürümlerde SMTP sunucusu, hassas bilgileri günlük dosyasına yazmaktadır. Bu durum, sunucunun günlüğünü okuyabilen yerel bir kullanıcının veya günlüğün bir kopyasına erişen herhangi bir kişinin kimlik bilgilerini elde etmesine olanak tanır. SMTP günlüklemesi etkinleştirildiğinde sunucu, AUTH PLAIN komutunun kimlik bilgisini yalnızca EHLO komutundan sonra, tam olarak belirli bir biçimde gönderildiğinde gizlemektedir. SASL alışverişinin geri kalanı ise istemcinin gönderdiği şekliyle yazılmaktadır. Buna EHLO komutundan önce gönderilen veya fazladan boşluk içeren PLAIN parolası; AUTH XOAUTH2 ve AUTH OAUTHBEARER komutlarının OAuth 2.0 taşıyıcı belirteci (6.2.0 sürümünden itibaren); 6.2.0 sürümünden itibaren SCRAM-SHA-256 istemci kanıtı dahildir. Günlüğe yazılan tuz ve yineleme sayısıyla birlikte bu kanıt, çevrimdışı parola tahminine izin vermektedir. Ayrıca GSSAPI kimlik doğrulayıcısı (6.3.2 sürümünden itibaren) da etkilenmektedir. SMTP günlüklemesi varsayılan olarak kapalıdır. Windows'ta 6.3.6 öncesi sürümlerde günlük klasörü her yerel kullanıcı tarafından okunabilmekteydi.
Kaynaktaki açıklama (İngilizce)
Insertion of sensitive information into a log file in the SMTP server of Progressive Robot hMailServer 6.0.0 through 6.3.6 allows a local user who can read the server's log, or anyone given a copy of it, to obtain credentials. With SMTP logging enabled, the server hid the credential of an AUTH PLAIN command only when it was sent after EHLO in one exact form, and wrote the rest of the SASL exchange as the client sent it: a PLAIN password sent before EHLO or with extra spacing, the OAuth 2.0 bearer token of AUTH XOAUTH2 and AUTH OAUTHBEARER (from 6.2.0), the SCRAM-SHA-256 client proof (from 6.2.0), which with the logged salt and iteration count allows offline password guessing, and the GSSAPI authenticator (from 6.3.2). SMTP logging is off by default; on Windows before 6.3.6 the log folder was readable by every local user.
Üreticinin çözüm notu (İngilizce)
Upgrade to hMailServer 6.3.7, which masks every line of a SASL exchange and every AUTH initial response in the SMTP log, but the user name of AUTH LOGIN and the authentication identity of AUTH PLAIN, as before. Until then, turn SMTP logging off where it is not needed or keep the logs readable by administrators only, remove the AUTH exchanges from a log before sharing it, and where a log may have been read by others revoke the OAuth 2.0 grants and change the passwords of the accounts that signed in (after upgrading as well: an upgrade does not take credentials out of logs already written, so delete or redact those logs).
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Progressive Robot Ltd hMailServer | ≥ 6.0.0, ≤ 6.3.6 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.