Derzeit haben es Angreifer auf SmarterMail-Instanzen abgesehen. Sind Attacken erfolgreich, erlangen sie als Admin die volle Kontrolle. Eine reparierte Version steht zum Download bereit.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Alle drei mittlerweile in SmarterMail 100.0.9511 geschlossenen Sicherheitsl\u00fccken (CVE-2026-23760), CVE-2026-24423, CVE-2025-52691) sind mit dem Bedrohungsgrad \u201ekritisch<\/strong>\u201c eingestuft. Alle vorigen Ausgaben sollen verwundbar sein. Der US-Sicherheitsbeh\u00f6rde CISA zufolge nutzen Angreifer die ersten beiden Schwachstellen bereits aus.<\/p>\n Ernste Gefahren<\/p>\n Im ersten Fall ist die Passwort-Reset-API l\u00f6chrig und es kommt zu Fehlern beim Zur\u00fccksetzen von Systemadministratorkonten. Weil in diesem Kontext unzureichend gepr\u00fcft wird, kommen anonyme Anfragen durch und Angreifer erstellen ohne Authentifizierung Admin-Konten. Im Anschluss k\u00f6nnen sie als Root auf den Host zugreifen, was einer vollst\u00e4ndigen Kompromittierung gleichkommt.<\/p>\n Im zweiten Fall k\u00f6nnen Angreifer Verbindungen zu einem unter ihrer Kontrolle befindlichen HTTP-Server erzwingen und dar\u00fcber Schadcode servieren. Die dritte L\u00fccke ist mit dem maximalen CVSS Score 10 von 10 eingestuft. An dieser Stelle k\u00f6nnen entfernte Angreifer ohne Anmeldung Schadcode hochladen und ausf\u00fchren.<\/p>\n In welchem Umfang die Attacken derzeit ablaufen, ist nicht bekannt. Unklar ist zum jetzigen Zeitpunkt auch, woran Admins bereits erfolgreich attackierte Instanzen erkennen k\u00f6nnen. In den Release Notes zu SmarterMail-Versionen<\/a> finden sich nur \u00e4u\u00dferst knappe Hinweise auf die Sicherheitsprobleme.<\/p>\n Zumindest in einem Fall ist klar, dass Admins nach ihnen unbekannten Admin-Konten Ausschau halten und diese umgehend l\u00f6schen m\u00fcssen. Doch dann ist es wahrscheinlich schon zu sp\u00e4t, und Angreifer haben sich eine Hintert\u00fcr eingerichtet. Dementsprechend m\u00fcssen Admins Logdateien im Auge behalten und verd\u00e4chtigen Netzwerkverkehr blockieren.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n