CVE-2026-104704 in hMailServer
Resumen
por VulDB • 2026-10-08
El servidor de correo hMailServer 6.0.0 hasta la versión 6.3.5 de Progressive Robot no aplica TLS para el envío SMTP saliente hacia un exchanger de correo cuyos registros TLSA validados mediante DNSSEC no contienen ningún registro DANE-EE (usage 3), en contravención con lo establecido en la sección 2.2 del RFC 7672. El servidor solo utilizaba los registros DANE-EE y trataba un conjunto de registros TLSA validado que consistía únicamente en registros DANE-TA (usage 2) u otros registros no válidos como si no hubiera ningún registro publicado, por lo que el envío a dicho host recurría al uso de TLS oportunista. Un atacante con una posición activa en la ruta de red entre el servidor y el exchanger de correo del destinatario puede suprimir o interrumpir la negociación STARTTLS y provocar que los mensajes se entreguen en texto claro (cleartext), donde pueden ser leídos y modificados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.