SEPPmail 15.0.7, 15.1.0 y 15.1.0.1: correcciones de CVE y nueva rama de funcionalidades

SEPPmail publicó la versión de parche 15.0.7 el 2 de septiembre de 2026, la versión de funcionalidades 15.1.0 el 28 de septiembre de 2026 y el hotfix 15.1.0.1 el 29 de septiembre de 2026. La versión de parche corrige varias vulnerabilidades con valores CVSS entre 7.7 y 8.6, actualiza OpenSSL y, según el fabricante, es la última versión de la rama 15.0 que también permite actualizar a 15.1. La versión 15.1.0 incorpora nuevas funciones para la administración, la supervisión, la API REST y el webmail, además de otras dos correcciones de seguridad, una de ellas con CVSS 9.9. Las versiones están destinadas a todos los operadores de appliances SEPPmail, incluidos los appliances que funcionan como HIN Mailgateway, ya que se basan en el firmware de SEPPmail. El estado anterior se describe en el artículo sobre SEPPmail 15.0.6 y 15.0.6.1.

Resumen de las versiones

Correcciones de seguridad en 15.0.7

El historial de revisiones enumera tres entradas de seguridad para 15.0.7. Dos de ellas se publicaron como CVE el 3 de septiembre de 2026; el CNA es el NCSC y fueron descubiertas por Oualid Lkhaouni (Emposo GmbH).

• CVE-2026-84830, CVSS 8.6 (v4.0): inyección de comandos (CWE-78) en el procesamiento privilegiado de configuración. Los administradores autenticados podían ejecutar comandos con privilegios elevados. Están afectadas todas las versiones anteriores a la 15.0.7.
• CVE-2026-84831, CVSS 7.7 (v4.0): omisión de MFA obligatoria antes del registro (CWE-287, CWE-306). El appliance creaba una sesión con todos los privilegios antes de que se completara el registro de MFA obligatorio. Quien conociera la contraseña de una cuenta con MFA obligatorio pero aún no registrada podía utilizar funciones protegidas sin un segundo factor. Están afectadas las versiones anteriores a la 15.0.7.
• CVE-2026-84832, CVSS 8.6 (v4.0): deserialización insegura en un flujo de importación REST privilegiado (CWE-502). Un atacante con un token de API privilegiado podía ejecutar comandos arbitrarios con los permisos del usuario «nobody». La entrada figura en la sección 15.0.7, pero las notas de la versión y la entrada CVE indican como afectadas las versiones anteriores a la 15.0.6. Según estos datos, los sistemas con 15.0.6 o 15.0.6.1 ya están protegidos.

La evaluación de CISA-ADP en las entradas CVE indica en las tres vulnerabilidades «Exploitation: none» (a fecha de 8 de octubre de 2026). Las tres requieren autenticación: una cuenta de administrador, una contraseña conocida de una cuenta aún no registrada para MFA o un token de API privilegiado. Por tanto, además de actualizar, compruebe qué cuentas requieren MFA pero aún no se han registrado y qué tokens de API se han emitido con qué permisos.

Otros cambios en 15.0.7

OpenSSL se actualizó a la versión 3.0.22. Las notas de la versión mencionan CVE-2026-63072, CVE-2026-63076, CVE-2026-54874, CVE-2026-63074 y CVE-2026-75803, así como una comprobación corregida de etiquetas de autenticación para textos cifrados vacíos en modo CCM.

Las correcciones de errores afectan a varias áreas:

• Administración: Los usuarios locales no podían eliminarse después de una revocación de certificado, y la configuración de zona horaria no se guardaba correctamente, tampoco en Cfgserver.
• Clústeres: connector.pl no terminaba las conexiones de inyección iniciales. Ya no aparecen advertencias SSH innecesarias al mostrar el estado del clúster.
• Tareas en segundo plano: Los procesos que aún se están ejecutando se tratan de forma que ya no se solapen.
• RuleEngine: Se corrigió la gestión del directorio temporal, a los mensajes LFT les faltaban parcialmente adjuntos cifrados y las comprobaciones de revocación omitidas se registran mejor.
• Webmail (GINA): Los datos almacenados en caché se validaban frente a un valor incorrecto y se corrigió la gestión de sesiones.

La corrección de la zona horaria da continuidad a la versión 15.0.6, que había configurado el appliance para utilizar zonas horarias válidas (por defecto Europe/Zurich).

Correcciones de seguridad en 15.1.0

La versión 15.1.0 contiene dos correcciones de seguridad, ambas procedentes, según las notas de la versión, de una auditoría de Emposo. A fecha de 26 de octubre de 2026, el historial de revisiones aún tenía pendiente («Pending») un identificador CVE para ambas.

• Gestión de CA raíz mediante API REST, CVSS 9.9: comprobación de permisos insuficiente en la API de gestión criptográfica. Un token de API sin permisos MSP podía añadir, modificar o eliminar certificados RootCA. El acceso al endpoint /crypto/rootca ahora está restringido a tokens MSP. El historial de revisiones indica como afectadas las versiones anteriores a la 15.0.6.1, pero enumera la corrección bajo 15.1.0. No se puede determinar con claridad a partir de las fuentes si las versiones 15.0.6.1 y 15.0.7 ya están protegidas (a fecha de 26 de octubre de 2026).
• XSS almacenado en el visor de registros, CVSS 7.1: era posible inyectar JavaScript en la GUI de administración mediante un Message-ID manipulado. Ahora los datos externos se escapan. Están afectadas las versiones anteriores a la 15.1.0.

Además, todas las llamadas a qx(...) se sustituyeron por run_shell_safe, de modo que los argumentos se escapen al invocar el shell; el fabricante lo clasifica como trabajo de mantenimiento. Dado que la vulnerabilidad de CA raíz se explota mediante un token de API, debería revisar los tokens de API REST emitidos y sus permisos hasta que se instale la versión 15.1.0.1.

Nuevas funciones en 15.1.0

• Administración: Se supervisa el crecimiento de la base de datos LDAP. Los administradores delegados ya solo ven las cuentas de su inquilino. Hay una prueba de conexión para servidores de claves externos.
• Notificaciones: El appliance informa de copias de seguridad de correo electrónico fallidas, notifica a los interlocutores de comunicación sobre certificados que caducan y advierte cuando el almacenamiento LFM alcanza su límite de capacidad.
• API REST: Las solicitudes a la API REST se pueden auditar.
• RuleEngine: Los mensajes reciben metadatos sobre las acciones ejecutadas y los comandos personalizados pueden conectarse a PostgreSQL.
• Webmail (GINA): Se pueden restringir los tipos de archivo que los socios externos pueden cargar mediante GINA.

También se modificaron la sincronización LDAP para instalaciones medianas y grandes, la comprobación de revocaciones de certificados y la presentación de las notificaciones de correo electrónico generadas. OpenSSL pasa a la versión 3.5.8 y OpenSSH (sshd) a la 10.4. Se corrigió una definición de API incompleta para la información de certificados.

Conviene configurar la restricción de carga en GINA y la auditoría de la API REST después de actualizar, especialmente si socios externos envían archivos mediante GINA o varios sistemas acceden al appliance mediante API.

Hotfix 15.1.0.1

El hotfix del 29 de septiembre de 2026 corrige un error interno del servidor en la página de edición de un dominio GINA. Las notas de la versión no mencionan más puntos.

Procedimiento recomendado

La versión objetivo es 15.1.0.1. Según el historial de revisiones, 15.0.7 es la versión que permite actualizar a 15.1; por tanto, actualice primero los sistemas con 15.0.6.1 o anteriores a 15.0.7 y después a 15.1.0.1. Quien vaya a permanecer por ahora en la rama 15.0 debería instalar como mínimo la 15.0.7, ya que corrige CVE-2026-84830 y CVE-2026-84831; las correcciones de CA raíz y XSS de 15.1.0 solo se enumeran en las notas de la versión para 15.1. Antes de cada actualización, cree una copia de seguridad y, en los appliances virtuales, también una instantánea, tal como recomienda la documentación del fabricante. Las notas de la versión de estas versiones no contienen información sobre problemas conocidos, fin del soporte de la rama 15.0 ni orden de actualización en el clúster (a fecha de 26 de octubre de 2026).