CVE-2026-107587 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 08.
Progressive Robot hMailServer 6.3.2부터 6.3.5 버전의 웹메일에서 부적절한 인증서 검증으로 인해 원격 비인증 공격자가 S/MIME로 암호화된 메일을 보낼 때, 해당 계정이 다른 수신자에게 전달하는 메일도 공격자의 키에 대해 암호화되도록 할 수 있습니다. 서명된 메시지를 받은 사람이 열면, 웹메일은 서버가 그 인증서의 체인을 신뢰한다고 판단했는지 여부와 상관없이, 메시지 발신자 주소(From) 대신 인증서에 나열된 첫 번째 이메일 주소를 기준으로 서명자의 인증서를 유지하여 답장 암호화에 사용하며, 해당 주소에 대해 이미 보유 중인 모든 인증서 옆에도 이를 저장합니다. 이후 웹메일에서 그 주소로 보내진 암호화 메일은 해당 주소에 대해 보유된 모든 인증서에 대해 암호화되므로, 보관된 인증서의 키를 가진 자가 이러한 메시지의 사본을 획득하면 내용을 읽을 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.