CVE-2026-104660 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Ein fehlendes Autorisierungs-Check auf COM-Objekten in Progressive Robot hMailServer 6.0.0 bis 6.3.5 (nur Windows) ermöglicht es einem lokalen, interaktiven Benutzer ohne hMailServer-Anmeldeinformationen, beliebige Dateien als das Dienstkonto zu lesen und zu schreiben sowie E-Mails mit jeder Absenderadresse zu versenden. Der Dienst registriert seine COM-Klassen ohne DCOM-Zugriffs- oder Startberechtigungen und ruft CoInitializeSecurity ohne Sicherheitsdeskriptor auf; daher kann jeder am Konsolenbildschirm oder über Remote Desktop angemeldete Benutzer die Klassen im laufenden Dienst aktivieren. Ein hMailServer.Message, dessen Attachments und Attachment sowie ein so erstelltes hMailServer.FetchAccount verfügen über eine Anmeldeinformation (Credential), die nie authentifiziert wurde. Die Methoden Attachments.Add(path) und Attachment.SaveAs(path) führen keine Autorisierungsprüfung durch; Message.Save/Copy sowie FetchAccount.AccountID/Save taten dies ebenfalls bis Version 6.3.3, während sie ab Version 6.3.4 einen Inhaber ohne Anmeldeinformation als den eigenen Ereignisskript-Host des Servers behandelten. Da der Dienst die COM-Aufrufenden nicht imitiert (impersonate), liest Attachments.Add jede Datei, auf die das Dienstkonto Zugriff hat, und gibt sie zurück; Attachment.SaveAs schreibt vom Angreifer gewählte Bytes in jeden Pfad, den er beschreiben kann (bei einer LocalSystem-Installation führt dies zur Code-Ausführung als SYSTEM); Message.Save stellt ausgehende E-Mails von jeder Adresse nach Umgehung der SMTP-Prüfungen in die Warteschlange; und FetchAccount hängt einen Mail-Hol-Job an jedes Postfach. Die Objekte, die eine Application bereitstellt, verhalten sich gleich, sobald ein späterer Authenticate-Aufruf für diese Application fehlschlägt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.