totemomail 9.5.1: Account-Übernahme im Web Portal und SSRF über eingehende Mails geschlossen

totemo hat totemomail 9.5.1 (Build 101) veröffentlicht. Der Patch enthält acht Sicherheitskorrekturen, eine Verbesserung und drei Fehlerbehebungen. Zwei der Lücken lassen sich ohne Anmeldung ausnutzen: ein Fehler im Passwort-Reset des Web Portals, über den sich auch Administratorkonten übernehmen lassen, und serverseitige Abrufe von URLs, die in eingehenden Nachrichten stehen. Beide betreffen Komponenten, die bei den meisten Installationen aus dem Internet erreichbar sind. Planen Sie das Update deshalb zeitnah ein.

Von 9.2.1 direkt zu 9.5.1

Die Release Notes führen 9.5.1 unmittelbar nach 9.2.1; Versionen 9.3 und 9.4 kommen in der totemomail-Historie nicht vor. Ein Eintrag in 9.5.1 verweist trotzdem auf eine «security hardening introduced in 9.3.1». Die Zwischenversionen stammen aus dem Kiteworks Email Protection Gateway (EPG), das auf derselben Codebasis aufbaut: Die Sicherheitshinweise von Kiteworks nennen als Korrekturstände EPG 9.3.1, 9.4.0, 9.4.1, 9.5.0 und 9.5.1. Für totemomail-Installationen mit 9.2.1 ist 9.5.1 das nächste Update; die Release Notes führen dazwischen keinen weiteren Patch.

Lücken ohne Anmeldung

Server-Side Request Forgery über den Nachrichteninhalt. totemomail rief URLs aus verarbeiteten Nachrichten serverseitig ab, ohne das Ziel ausreichend einzuschränken. Ein Absender ohne Anmeldung konnte eine Nachricht so gestalten, dass das Gateway Anfragen an interne Dienste oder an Metadaten-Endpunkte von Cloud-Instanzen stellte und die Antworten zurückgab. Ausreichend ist dafür eine Mail, die das Gateway verarbeitet; bei einem Gateway im eingehenden Mailfluss kann das jeder externe Absender. Besonders heikel ist das bei Installationen in Azure, AWS oder anderen Clouds, wo der Metadaten-Endpunkt 169.254.169.254 Konfigurationsdaten und je nach Plattform Zugangstokens der Instanz liefert. Die Release Notes nennen für diese Lücke keine CVE-Nummer. Kiteworks führt für das EPG fünf Advisories zum Zugriff auf interne Netzwerkressourcen (CVE-2026-102095, CVE-2026-102102 bis CVE-2026-102105, jeweils CVSS 9.1, behoben in EPG 9.5.0); welches davon dem totemomail-Eintrag entspricht, geht aus den knappen Advisory-Texten nicht hervor.

Passwort-Reset im Web Portal (CVE-2026-85066). Ein Fehler im Ablauf zum Zurücksetzen des Passworts erlaubte es, die Prüfschritte zu überspringen und für ein bestehendes Konto ein neues Passwort zu setzen. Die Release Notes schliessen Administratorkonten ausdrücklich ein. Kiteworks bewertet die Lücke im zugehörigen Advisory GHSA-rwpq-5xfv-54pv mit CVSS 9.8 (kritisch) und nennt EPG 9.5.0 als Korrekturstand. Das Web Portal ist für externe Empfänger von verschlüsselten Nachrichten gedacht und deshalb in der Regel öffentlich erreichbar.

Lücken mit Administratorrechten

Drei weitere Korrekturen setzen eine Anmeldung mit administrativen Rechten voraus. In Kombination mit der Account-Übernahme im Web Portal verlieren diese Voraussetzungen allerdings an Gewicht.

• Admin API, Queue-Verwaltung (CVE-2026-34843): Über unzureichend geschützte Datei-Uploads liessen sich Dateien an beliebige Stellen im Dateisystem schreiben. Laut Release Notes war damit Remote Code Execution möglich. Das Advisory GHSA-mhc9-4pph-2r9x bewertet die Lücke mit CVSS 7.2; im EPG ist sie seit 9.4.0 behoben.
• Rule Designer: Beim Import einer Regelkonfiguration konnte die Verarbeitungspipeline Code ausserhalb der freigegebenen Mail-Processing-Komponenten laden und ausführen. Voraussetzung sind Rechte zur Konfiguration von Mailregeln.
• Mail API: Beim Entpacken hochgeladener ZIP-Dateien bestand eine Path-Traversal-Lücke. Dateien werden jetzt nur noch in das temporäre Verzeichnis entpackt.

Die vierte Korrektur betrifft die Property security.login.requestingKeysAvailable. Bisher blendete sie im Web Portal nur den Link zum Anfordern öffentlicher Schlüssel aus; die Funktion selbst blieb über eine direkte Anfrage erreichbar. Ab 9.5.1 deaktiviert die Property die Funktion. Wenn Sie die Property gesetzt haben, um Schlüsselanfragen zu unterbinden, wirkt sie erst mit diesem Update wie erwartet.

Was das Kiteworks-Register zusätzlich listet

Kiteworks hat am 30. September 2026 in seinem Advisory-Register auf GitHub gesammelt 125 Sicherheitshinweise veröffentlicht, davon 28 zum Email Protection Gateway. Die totemomail-Release-Notes zu 9.5.1 nennen deutlich weniger Punkte. Das Register unterscheidet nicht zwischen EPG und totemomail; ob jede EPG-Lücke auch totemomail betrifft, lässt sich daraus nicht ablesen. Die kritischen EPG-Einträge sind:

Dazu kommen 13 als hoch eingestufte Einträge, die meisten davon Codeausführung mit Administratorrechten (CVSS 7.2). Der höchste genannte Korrekturstand ist 9.5.1; Kiteworks hat 9.5.1 Ende September als aktuelle Version bezeichnet, in der alle bekannten Schwachstellen berücksichtigt seien. Wer totemomail auf 9.5.1 bringt, hat damit den Stand, auf den sich alle EPG-Advisories des Registers beziehen.

Aktualisierte Bibliotheken

Die mitgelieferten Bibliotheken von Apache Tomcat und Apache XML Graphics Batik wurden aktualisiert. Die Release Notes nennen dazu CVE-2026-50229, CVE-2026-53404, CVE-2026-53434, CVE-2026-55276, CVE-2026-55955, CVE-2026-55956 und CVE-2026-59083, ohne sie den beiden Bibliotheken einzeln zuzuordnen. Zusätzlich wurde woodstox-core-asl wegen einer Schwachstelle aktualisiert; dafür ist keine CVE-Nummer angegeben.

Verbesserung und Fehlerbehebungen

• EPG-Migration: Bei der Migration aus einer Oracle-Datenbank unterstützt totemomail jetzt Oracle Wallet. Ist kein Datenbankpasswort konfiguriert, verbindet sich die Migration über das Wallet.
• RMS: Nachrichten konnten in der Verarbeitung hängen bleiben, weil RMS-Aktionen unbegrenzt auf die Authentifizierung warteten. Die Wartezeit ist jetzt auf eine Minute begrenzt. Das betrifft Installationen mit Microsoft Purview Information Protection (RMS).
• TRE: Die Funktion «Open Online» für Registered Envelopes funktioniert wieder. Sie war seit der erwähnten Härtung aus 9.3.1 ausgefallen.
• Lizenzbericht: Bei Cloud-Lizenzen zählt der Bericht interne Benutzer mit vordefinierten Feature-Typen wieder korrekt. Wie sich verwaiste Konten auf die Lizenzzählung auswirken, beschreibt der Artikel zum Lizenzlimit und der Bereinigung per LDAP.

Installation

Der Patch lässt sich auf Systemen ab totemomail 7 b985 unter Windows, Linux, Solaris und FreeBSD installieren. Melden Sie sich an der Administrationskonsole an, laden Sie unter [Instanzname] > «Update» die mitgelieferte TPF-Datei hoch und starten Sie das Update. Bei mehreren Instanzen ist das für jede Instanz einzeln nötig. totemomail startet danach nach Möglichkeit selbständig neu; planen Sie dafür ein Wartungsfenster ein und erstellen Sie vorher ein Backup oder einen Snapshot.

Bis das Update installiert ist, reduzieren zwei Massnahmen das Risiko: Admin-Konsole und Admin API nur aus dem Verwaltungsnetz erreichbar machen und ausgehende Verbindungen des Gateways auf die tatsächlich benötigten Ziele beschränken. Bei Cloud-Installationen gehört der Metadaten-Endpunkt 169.254.169.254 zu den Zielen, die das Gateway nicht erreichen muss. Beide Massnahmen ersetzen den Patch nicht; die Lücke im Passwort-Reset des Web Portals schliesst nur das Update.