Er zijn kritieke beveiligingskwetsbaarheden onthuld in SEPPMail Secure E-Mail Gateway, een e-mailbeveiligingsoplossing op bedrijfsniveau, die kan worden uitgebuit om code op afstand uit te voeren en een aanvaller in staat te stellen willekeurige e-mails van het virtuele apparaat te lezen.
“Deze kwetsbaarheden hadden kunnen worden uitgebuit om al het e-mailverkeer te lezen of als toegangsvector tot het interne netwerk”, zeiden InfoGuard Labs-onderzoekers Dario Weiss, Manuel Feifel en Olivier Becker in een rapport van maandag.
De lijst met geïdentificeerde gebreken is als volgt:
- CVE-2026-2743 (CVSS-score: 10,0) – Een kwetsbaarheid bij het doorlopen van paden in de functie voor grote bestandsoverdracht (LFT) van de SeppMail-gebruikerswebinterface die het willekeurig schrijven van bestanden mogelijk maakt, wat resulteert in het uitvoeren van externe code.
- CVE-2026-7864 (CVSS-score: 6,9) – Een blootstelling aan een kwetsbaarheid voor gevoelige systeeminformatie die serveromgevingsvariabelen lekt via een niet-geverifieerd eindpunt in de nieuwe GINA-gebruikersinterface.
- CVE-2026-44125 (CVSS-score: 9,3) – Een ontbrekende kwetsbaarheid voor autorisatiecontrole voor meerdere eindpunten in de nieuwe GINA UI waarmee niet-geverifieerde externe aanvallers toegang kunnen krijgen tot functionaliteit waarvoor anders een geldige sessie nodig zou zijn.
- CVE-2026-44126 (CVSS-score: 9,2) – Een deserialisatie van niet-vertrouwde gegevenskwetsbaarheid waardoor niet-geverifieerde externe aanvallers code kunnen uitvoeren via een vervaardigd geserialiseerd object.
- CVE-2026-44127 (CVSS-score: 8,8) – Een niet-geverifieerde kwetsbaarheid bij het doorlopen van paden in “/api.app/attachment/preview” waardoor aanvallers op afstand willekeurige lokale bestanden kunnen lezen en het verwijderen van bestanden in de beoogde map kunnen activeren met de bevoegdheden van het “api.app”-proces.
- CVE-2026-44128 (CVSS-score: 9,3) – Een kwetsbaarheid voor eval-injectie die niet-geverifieerde uitvoering van externe code mogelijk maakt door gebruik te maken van het feit dat de functie /api.app/template de door de gebruiker aangeleverde upldd-parameter direct doorgeeft aan een Perl eval()-instructie zonder enige opschoning.
- CVE-2026-44129 (CVSS-score: 8,3) – Een onjuiste neutralisatie van speciale elementen die worden gebruikt in de kwetsbaarheid van een sjabloonengine, waardoor aanvallers op afstand willekeurige sjabloonexpressies kunnen uitvoeren en mogelijk externe code kunnen uitvoeren, afhankelijk van de ingeschakelde sjabloonplug-ins.
In een hypothetisch aanvalsscenario zou een bedreigingsacteur CVE-2026-2743 kunnen misbruiken om de syslog-configuratie van het systeem (“/etc/syslog.conf”) te overschrijven door gebruik te maken van de schrijftoegang van de “nobody”-gebruiker tot het bestand en uiteindelijk een op Perl gebaseerde reverse shell te verkrijgen. Het eindresultaat is een volledige overname van het SEPPmail-apparaat, waardoor de aanvaller al het e-mailverkeer kan lezen en voor onbepaalde tijd op de gateway kan blijven staan.
Een belangrijke hindernis die een aanvaller moet overwinnen om code op afstand uit te kunnen voeren, is dat syslogd de configuratie pas opnieuw leest na ontvangst van het SIGHUP-signaal (ook wel ‘signal hang up’ genoemd). Syslogd is een Linux-systeemdaemon die verantwoordelijk is voor het schrijven van systeemberichten naar logbestanden of de terminal van een gebruiker.
“Het apparaat gebruikt newsyslog voor logrotatie (bijvoorbeeld leidend naar logfile.0), dat elke 15 minuten via cron wordt uitgevoerd”, legden de onderzoekers uit. “newsyslog roteert bestanden die een limiet overschrijden en verzendt vervolgens automatisch een SIGHUP naar syslogd. Door logbestanden zoals SEPPMaillog, die in dit geval een limiet van 10.000 KB heeft, op te blazen, kunnen we een rotatie forceren en vervolgens de configuratie opnieuw laden. Deze kunnen worden gevuld door alleen webverzoeken te verzenden.”
Hoewel CVE-2026-44128 naar verluidt is opgelost in versie 15.0.2.1, is CVE-2026-44126 verholpen met de release van versie 15.0.3. De overige kwetsbaarheden zijn gepatcht in versie 15.0.4.
De onthulling komt weken nadat SEPPmail updates heeft verzonden om een andere kritieke fout (CVE-2026-27441, CVSS-score: 9,5) op te lossen die willekeurige uitvoering van opdrachten door het besturingssysteem mogelijk zou kunnen maken.
