SEPPmail 15.1.1: cinco correcciones de CVE y solución para la regresión de DNS de 15.1.0.1

SEPPmail publicó la versión de parche 15.1.1 el 27 de octubre de 2026. Corrige cinco vulnerabilidades con valores CVSS entre 6.9 y 9.2, entre ellas una posible ejecución de código mediante reglas de sustitución de direcciones y la lectura o eliminación de archivos arbitrarios mediante adjuntos Large File Transfer manipulados. También incluye un refuerzo del procesamiento de PGP, una corrección de la resolución DNS que dejó de funcionar correctamente con 15.1.0.1, así como cambios en MPKI, S/MIME, las copias de seguridad y la virtualización. La versión está dirigida a todos los operadores de appliances SEPPmail, incluidos los appliances que funcionan como HIN Mailgateway, ya que se basan en el firmware de SEPPmail. El estado anterior se describe en el artículo sobre SEPPmail 15.0.7, 15.1.0 y 15.1.0.1.

Las versiones de un vistazo

Correcciones de seguridad en 15.1.1

El historial de revisiones enumera cinco entradas con identificador CVE. En cada caso, indica que están afectadas las versiones anteriores a 15.1.1; no especifica una versión de CVSS.

• CVE-2026-114424, CVSS 9.2: Los valores de sustitución en las reglas de sustitución de direcciones se procesaban incorrectamente. Si un conjunto de reglas utilizaba valores del mensaje como valor de sustitución, un remitente remoto podía ejecutar comandos en el appliance. Se ha reforzado la evaluación.
• CVE-2026-114425, CVSS 9.2: Metadatos de adjuntos especialmente diseñados en mensajes entrantes podían hacer que el procesamiento de Large File Transfer (LFT) leyera o eliminara archivos arbitrarios. Ahora los metadatos se validan antes de cada acceso a archivos.
• CVE-2026-114426, CVSS 8.7: La interfaz de carga procesaba datos de solicitud antes de comprobar la autenticación. De este modo, atacantes no autenticados podían agotar el espacio de almacenamiento y los procesos worker. Ahora la autenticación se realiza primero y, además, se limita el tamaño de carga.
• CVE-2026-114420, CVSS 8.3, y CVE-2026-114421, CVSS 6.9: Un escape insuficiente en las búsquedas de cuentas y una comprobación ausente en el proceso de recuperación de contraseña permitían la toma de control de cuentas GINA. Ahora se aplican escapes a los valores de filtro LDAP, y la recuperación solo consulta usuarios registrados con preguntas de seguridad configuradas. El historial de revisiones describe ambos CVE con texto y corrección idénticos, pero indica valores CVSS distintos.

Otros dos puntos afectan a PGP, pero no tienen identificador CVE: ya no se aceptan claves con ID de usuario que no estén autofirmadas, y los mensajes PGP sin cifrado real (cifrado NULL) se detectan y dejan de marcarse como cifrados.

A fecha de 3 de noviembre de 2026, las cinco entradas CVE no se han publicado ni en CVE.org ni en la NVD. Por tanto, todavía no se dispone de vectores, asignación CWE ni evaluación de la explotación; los valores CVSS proceden del historial de revisiones. Según la descripción del fabricante, dos de las vulnerabilidades (CVE-2026-114424 y CVE-2026-114425) pueden desencadenarse mediante mensajes entrantes, y CVE-2026-114426 sin autenticación. Hasta actualizar, compruebe qué reglas de sustitución de direcciones adoptan valores del mensaje y si LFT y la recuperación de contraseña GINA están activos.

Para las dos correcciones de seguridad de 15.1.0 (gestión de CA raíz mediante API REST con CVSS 9.9 y XSS almacenado en el visor de registros con CVSS 7.1), el historial de revisiones sigue indicando «CVE-ID: Pending» (a fecha de 3 de noviembre de 2026).

Nuevas funciones y cambios

• Virtualización: El appliance admite QEMU Guest Agent (qemu-ga).
• Administración: Una nueva opción del sistema desactiva la recopilación de datos de Customer Summary, que según el fabricante puede tardar mucho en instalaciones grandes.
• Copia de seguridad en el clúster: Todos los miembros del clúster crean una copia de seguridad de la base de datos, pero solo se envía desde el Maintenance Node. La ausencia de un operador de copia de seguridad deja de aparecer como error en el Daily Report, ya que las bases de datos grandes suelen asegurarse mediante SCP.
• Core dumps: El tamaño predeterminado está limitado para que los core dumps no llenen la partición /tmp.
• RuleEngine: Si falta material de claves al firmar o cifrar, el appliance lo genera automáticamente (con un usuario local si es necesario), siempre que estén activadas las opciones correspondientes. De lo contrario, el mensaje ya no se rechaza.
• S/MIME: Si están activadas la eliminación automática y la comprobación diaria de revocación, los certificados revocados también se eliminan automáticamente.
• MPKI: El conector D-Trust cumple con la especificación de conectores 2.28, se ha actualizado la cadena de CA raíz de GlobalSign y los pedidos SwissSignREST que no se emitan a tiempo permanecen pendientes y se completan posteriormente para evitar duplicados.
• Disclaimer: Las cabeceras Content-ID de las imágenes en línea y los adjuntos cumplen con RFC 2045.
• Complemento de Outlook: Se ha eliminado la compatibilidad con HIN ACS en el complemento COM de Outlook, ya que, según las notas de la versión, HIN proporciona su propio software.

Los operadores de un HIN Mailgateway cuyos usuarios utilicen HIN ACS mediante el complemento COM de Outlook deberían aclarar antes de actualizar qué software de HIN asume esta función. Si la eliminación automática de certificados está activada junto con la comprobación diaria de revocación, el appliance también eliminará certificados S/MIME revocados después de la actualización.

Correcciones de errores

• Sistema operativo: Tras configurar una zona DNS local con el resolvedor integrado, desde 15.1.0.1 ya no podían resolverse nombres DNS externos.
• Administración: La vista previa HTML para los disclaimers no funcionaba desde 15.0.6.1. Los archivos de disclaimer y plantilla ahora se escriben en UTF-8, por lo que los caracteres especiales ya no se dañan. La página de configuración de Managed Domain se carga correctamente después de crear una Managed Domain.
• Registro: La página de registro de la base de datos se carga incluso con entradas de datos vacías, los registros de correo rotados vuelven a poder consultarse y la reconstrucción del índice del archivo de registros de correo se ejecuta sin errores.
• API REST: PUT /v1/ssl devuelve el mensaje de error real en lugar de un error interno del servidor, y PUT /webmail/domain/{domainName} funciona con la opción «Initial password via SMS» activada.
• S/MIME: El resultado de la comprobación CRL ahora sobrescribe el resultado OCSP, de modo que los certificados revocados se marcan como revocados.
• RuleEngine: make_lft() funciona cuando un LFT tiene varios destinatarios y solo algunos de ellos están autorizados.
• Webmail (GINA): Las confirmaciones de lectura de mensajes a varios destinatarios se envían a todos los destinatarios en lugar de solo al primero.
• MPKI: La configuración del conector SwissSignREST se carga en la GUI de administración.

Problemas conocidos

• Resolución DNS con zona DNS local (15.1.0.1): corregida en 15.1.1.
• Vista previa HTML para disclaimers (desde 15.0.6.1): corregida en 15.1.1.
• Identificadores CVE para las correcciones de seguridad de 15.1.0: siguen pendientes («Pending», a fecha de 3 de noviembre de 2026).

Las notas de la versión de 15.1.1 no incluyen una sección sobre problemas conocidos.

Procedimiento recomendado

La versión objetivo es 15.1.1, ya que los cinco nuevos CVE afectan a versiones anteriores a 15.1.1 y dos de ellos pueden explotarse mediante mensajes entrantes. Según el historial de revisiones, 15.0.7 permite actualizar a 15.1; por tanto, actualice primero los sistemas de la rama 15.0 a 15.0.7 y después a 15.1.1. Antes de actualizar, cree una copia de seguridad y, en los appliances virtuales, también una instantánea, tal como recomienda la documentación del fabricante. Las notas de la versión no incluyen información sobre el orden de actualización en el clúster ni sobre una versión mínima para 15.1.1 (a fecha de 3 de noviembre de 2026).