- Yama var
- Son 7 gün
- CWE-863
CVE-2026-114476
hMailServer REST API'sinde yetkilendirme hatası sunucu yöneticisi yetkisinin ele geçirilmesine yol açıyor
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitLab
ÖzetTürkçe
Progressive Robot hMailServer 6.3.4 ile 6.3.6 sürümlerinin REST yönetim API'sindeki yanlış yetkilendirme, adlandırılmış alan adlarında manage_roles iznine sahip uzaktan kimlik doğrulaması yapılmış bir kullanıcının sunucu yöneticisinin yetkisini elde etmesine izin veriyor. Bu izne sahip kimlik bilgisi, bu alan adları için verilmiş tam kapsamlı bir API anahtarı ya da bir alan adı listesiyle sunucu yöneticisi rolü atanmış bir hesap olabilir. Bir hesabın yönetici seviyesi ona yetki verir ve hesaba atanan bir rol bu yetkinin yerini alır; yönetici, sunucu yöneticisinin yönetici seviyesine sahip bir hesabı bu yolla daraltır. Rol almaya yarayan yol (DELETE /api/v1/role-assignments/{address}) yalnızca kimlik bilgisinin, hesabın o andaki yetkilerini devralabildiğini denetliyor, sonrasındaki yetkilerini denetlemiyor. Bu nedenle böyle bir kimlik bilgisi, alan adları içindeki ve yönetici seviyesi sunucu yöneticisi olan bir hesaptan daraltıcı bir rolü alabiliyor; bu da hesabı sunucu yöneticisinin yetkisine geri döndürüyor. Saldırgan, hesap daraltıcı rolü taşırken o hesabın parolasını ayarlayarak sunucu yöneticisi olarak oturum açabiliyor. Üretici, 6.3.7 sürümüne yükseltilmesini öneriyor; bu sürümde roller yalnızca hesabın alan adında manage_roles izni olan ve hem mevcut hem de sonraki yetkilerini devralabilen kimlik bilgileriyle verilip alınabiliyor. Yükseltmeye kadar, roller yönetici seviyesini daraltması gereken hesaplara sunucu yöneticisi seviyesi yerine uygun yönetici seviyesi verilmeli, tam kapsamlı API anahtarları verilmemeli ve güvenilmeyen taraflara yalnızca adlandırılmış alan adlarıyla sınırlı serveradmin rolü atanmamalıdır. Ayrıca rol atamaları ile sunucu yöneticisinin yönetici seviyesine sahip hesaplar gözden geçirilmelidir; yükseltme sonrasında da bu kontrol yapılmalıdır, çünkü yükseltme daha önce alınmış bir rolü geri vermez.
Kaynaktaki açıklama (İngilizce)
Incorrect authorization in the REST administration API of Progressive Robot hMailServer 6.3.4 through 6.3.6 allows a remote authenticated user whose credential holds the manage_roles permission in named domains - a full-scope API key issued for those domains, or an account assigned the serveradmin role with a list of domains - to obtain the server administrator's authority. An account's admin level gives it authority, and a role assigned to it replaces that authority, which is how an administrator narrows an account whose admin level is the server administrator's. The route that takes a role away (DELETE /api/v1/role-assignments/{address}) checked only that the credential takes in what the account held at the time, not what it would hold afterwards, so such a credential could take a narrowing role away from an account in its domains whose admin level is the server administrator's, returning it to the server administrator's authority, and, having set that account's password while it held the narrower role, sign in as the server administrator.
Üreticinin çözüm notu (İngilizce)
Upgrade to hMailServer 6.3.7, in which a role is given or taken away, over the REST and the COM APIs, only by a credential that holds manage_roles in the account's domain and takes in both what the account holds now and what it will hold afterwards - with no role left, the authority of its admin level - so a credential confined to named domains is refused taking a role away from an account whose admin level is the server administrator's. Until then, give an account that a role narrows the admin level its role intends rather than the server administrator's, do not issue a full-scope API key, or assign serveradmin, confined to named domains to a party not trusted with the whole server, and review the role assignments and the accounts whose admin level is the server administrator's (after upgrading as well, since an upgrade does not give back a role already taken away).
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Progressive Robot Ltd hMailServer | ≥ 6.3.4, ≤ 6.3.6 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.