- Yama var
- Son 7 gün
- CWE-863
CVE-2026-114473
hMailServer'da SRS yeniden yazımındaki yetki hatası, sunucuyu üzerinden dış adreslere posta aktarmaya açabiliyor
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitLab
ÖzetTürkçe
Progressive Robot hMailServer 6.2.1 ile 6.3.6 arasındaki sürümlerde, Sender Rewriting Scheme (SRS) bileşenindeki yetkilendirme hatası uzak bir saldırganın sunucu üzerinden dış adreslere posta aktarmasına (relay) izin veriyor. SRS etkinleştirildiğinde sunucu, yönlendirdiği postanın zarf gönderen adresini, yönlendirme alan adına ait imzalı bir SRS adresiyle değiştirir ve bu adrese gelen geri dönüş (bounce) iletisini özgün göndericiye iletir. Ancak sunucu, göndericisi ne olursa olsun geçerli bir SRS adresine gelen her iletiyi yerel teslimat olarak değerlendiriyordu. Bu nedenle aktarma kuralları ve bunların gerektirdiği SMTP kimlik doğrulaması uygulanmıyor, ileti SRS adresinin kodladığı dış adrese teslim ediliyordu. Sunucunun geçerli bir SRS adresini elinde bulunduran herhangi biri, örneğin yönlendirilmiş bir iletinin alıcısı, bu adresin kodladığı adrese 21 gün boyunca posta aktarılmasını sağlayabiliyordu. Postayı dış bir kutuya yönlendiren hesaba sahip bir kullanıcı ise herhangi bir adres için böyle bir SRS adresi elde edebiliyordu. SRS varsayılan olarak kapalıdır. Sorunu gidermek için hMailServer 6.3.7 sürümüne yükseltilmesi öneriliyor; bu sürüm yalnızca boş ters yol (null reverse-path) içeren geri dönüş iletilerini yerel teslimat olarak kabul eder, diğer iletileri ise aktarma kurallarına tabi tutar. Yükseltmeye kadar SRS özelliğinin kapatılması (SRSEnabled=0, varsayılan değer) önerilir.
Kaynaktaki açıklama (İngilizce)
Incorrect authorization in the Sender Rewriting Scheme (SRS) of Progressive Robot hMailServer 6.2.1 through 6.3.6 allows a remote attacker to relay mail through the server to outside addresses. With SRS enabled, the server rewrites the envelope sender of mail it forwards to a signed SRS address at the forwarding domain, and passes a bounce to that address back to the original sender; but it took every message to a valid SRS address, whatever its sender, as delivery to a local recipient, so the relay rules and the SMTP authentication they require were not applied, and the message was delivered to the outside address the SRS address encodes. Anyone holding a valid SRS address of the server, such as the recipient of a forwarded message, could have the server relay mail to the address it encodes for 21 days, and an account holder whose account forwards to an outside mailbox could obtain one for any address. SRS is off by default.
Üreticinin çözüm notu (İngilizce)
Upgrade to hMailServer 6.3.7, which takes only a bounce (a null reverse-path) to an SRS address as local delivery and holds any other message to it to the relay rules: where they refuse it, the transaction is refused at DATA or BDAT, and a recipient named after such an address in the same transaction is answered 452 4.5.3. Until then, turn SRS off (SRSEnabled=0, the default).
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Progressive Robot Ltd hMailServer | ≥ 6.2.1, ≤ 6.3.6 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.