- Yama var
- Son 7 gün
- CWE-862
CVE-2026-114475
hMailServer REST rol yönetimi yollarında yetki eksikliği nedeniyle kiracılar arası yetki yükseltme
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitLab
ÖzetTürkçe
Progressive Robot hMailServer 6.3.4 ile 6.3.6 sürümlerinin REST rol yönetimi yollarında yetki denetimi eksikliği bulunmaktadır. Bu durum, yalnızca adlandırılmış alan adlarıyla sınırlı kimlik bilgisine sahip uzaktan kimliği doğrulanmış bir kullanıcının, diğer alan adlarındaki hesapların sahip olduğu özel bir rolü değiştirmesine, özel rol oluşturup hiçbir hesabın kullanmadığı rolleri silmesine olanak tanır. Rol oluşturma, güncelleme ve silme yollarında manage_roles izni gerekir; bu izni yalnızca serveradmin rolü taşır. Ancak belirli alan adları için verilmiş tam kapsamlı bir API anahtarı ile alan listesiyle atanmış serveradmin rolü, bu alan adlarıyla sınırlı serveradmin yetkisine sahip olup manage_roles iznini taşır. Sunucunun yetki kapısı bu üç rol yolunu sınırlı kimlik bilgilerine karşı reddetmemekte ve yollar hangi alan adının kapsandığını belirtmemektedir. Bu nedenle tek bir kiracıya verilen kimlik bilgisi, diğer kiracılarda atanmış özel bir rolün yetkilerini yükseltebilir veya düşürebilir; örneğin başka bir alan adındaki bir role posta kutuları ve ayarlar üzerinde tam yetki verebilir ya da ihtiyaç duyduğu yetkileri kaldırabilir. Özel bir rol administer_server, administer_domain veya manage_roles izinlerini taşıyamaz; dolayısıyla sınırlı kimlik bilgisi, rol oluşturarak veya yeniden yazarak kendisini ya da bir başkasını sunucu yöneticisi yapamaz. Satıcı çözümü: hMailServer 6.3.7 sürümüne yükseltmek; bu sürüm rol oluşturma, güncelleme ve silme yollarını adlandırılmış alan adlarıyla sınırlı kimlik bilgilerine karşı reddederken rollerin okunmasını değiştirmez. Yükseltmeye kadar, çok kiracılı sunucularda güvenilmeyen taraflara tam kapsamlı bir API anahtarı veya alan adlarıyla sınırlı serveradmin yetkisi vermeyin; REST API'ye ihtiyaç yoksa RestApiPort=0 (varsayılan) ayarıyla kapalı tutun; ve sınırlı bir kimlik bilgisinin yapmaması gereken değişiklikler için özel rollerin izinlerini gözden geçirin. Yükseltmeden sonra da bu kontrol yapılmalıdır, çünkü yükseltme daha önce…
Kaynaktaki açıklama (İngilizce)
Missing authorization in the REST role-management routes of Progressive Robot hMailServer 6.3.4 through 6.3.6 allows a remote authenticated user whose credential is confined to named domains to modify a custom role that accounts in other domains hold, and to create custom roles and delete any that no account holds. The routes that create, update and delete a custom role require the manage_roles permission, which only the serveradmin role holds; but a full-scope API key issued for named domains, and serveradmin assigned with a domain list, are serveradmin confined to those domains and hold manage_roles. The server's authorization gate did not refuse the three role routes to a confined credential and the route named no domain, so a credential issued to one tenant could raise or lower the permissions of a custom role assigned across other tenants - granting another domain's role every permission over its mailboxes and settings, or removing what it needs. A custom role may not hold administer_server, administer_domain or manage_roles, so the confined credential cannot make itself or another a server administrator by creating or rewriting a custom role.
Üreticinin çözüm notu (İngilizce)
Upgrade to hMailServer 6.3.7, whose authorization gate refuses the create, update and delete role routes to a credential confined to named domains, while leaving the read of roles unchanged. Until then, on a multi-tenant server, do not issue a full-scope API key - or assign serveradmin - confined to named domains to a party not trusted with the whole server; keep the REST API off (RestApiPort=0, the default) where it is not needed; and review custom roles' permissions for changes a confined credential should not have made (after upgrading as well, since an upgrade does not undo a change already made).
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Progressive Robot Ltd hMailServer | ≥ 6.3.4, ≤ 6.3.6 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.