SEPPmail 15.0.7, 15.1.0 e 15.1.0.1: correzioni CVE e nuovo ramo di funzionalità

SEPPmail ha rilasciato la patch release 15.0.7 il 2 settembre 2026, la feature release 15.1.0 il 28 settembre 2026 e l’hotfix 15.1.0.1 il 29 settembre 2026. La patch release risolve diverse vulnerabilità con punteggi CVSS compresi tra 7.7 e 8.6, aggiorna OpenSSL e, secondo il produttore, è l’ultima release del ramo 15.0 che consente al contempo l’aggiornamento alla versione 15.1. La 15.1.0 introduce nuove funzioni per l’amministrazione, il monitoraggio, l’API REST e la webmail, nonché altre due correzioni di sicurezza, una delle quali con CVSS 9.9. Le release sono destinate a tutti gli operatori di appliance SEPPmail, incluse le appliance utilizzate come HIN Mailgateway, poiché si basano sul firmware SEPPmail. Lo stato precedente è descritto nell’articolo su SEPPmail 15.0.6 e 15.0.6.1.

Panoramica delle versioni

Correzioni di sicurezza nella 15.0.7

La Revision History elenca tre voci di sicurezza per la 15.0.7. Due di queste sono state pubblicate come CVE dal 3 settembre 2026; il CNA è l’NCSC e sono state individuate da Oualid Lkhaouni (Emposo GmbH).

• CVE-2026-84830, CVSS 8.6 (v4.0): Command Injection (CWE-78) nell’elaborazione privilegiata della configurazione. Gli amministratori autenticati potevano eseguire comandi con privilegi elevati. Sono interessate tutte le versioni precedenti alla 15.0.7.
• CVE-2026-84831, CVSS 7.7 (v4.0): aggiramento dell’MFA obbligatoria prima della registrazione (CWE-287, CWE-306). L’appliance creava una sessione con privilegi completi prima del completamento della registrazione MFA obbligatoria. Chi conosceva la password di un account soggetto a MFA ma non ancora registrato poteva utilizzare funzioni protette senza secondo fattore. Sono interessate le versioni precedenti alla 15.0.7.
• CVE-2026-84832, CVSS 8.6 (v4.0): deserializzazione non sicura in un flusso di importazione REST privilegiato (CWE-502). Un aggressore con un token API privilegiato poteva eseguire comandi arbitrari con i diritti dell’utente «nobody». La voce è riportata nella sezione 15.0.7, ma le Release Notes e la voce CVE indicano come interessate le versioni precedenti alla 15.0.6. In base a queste informazioni, i sistemi con 15.0.6 o 15.0.6.1 sono già protetti.

La valutazione CISA-ADP nelle voci CVE riporta per tutte e tre le lacune «Exploitation: none» (situazione all’8 ottobre 2026). Tutte e tre richiedono l’autenticazione: un account amministratore, una password nota di un account non ancora registrato per l’MFA o un token API privilegiato. Oltre all’aggiornamento, verificate quindi quali account sono soggetti a MFA ma non ancora registrati e quali token API sono stati emessi con quali diritti.

Ulteriori modifiche nella 15.0.7

OpenSSL è stato aggiornato alla versione 3.0.22. Le Release Notes menzionano CVE-2026-63072, CVE-2026-63076, CVE-2026-54874, CVE-2026-63074 e CVE-2026-75803, nonché una verifica corretta dei tag di autenticazione per testi cifrati vuoti in modalità CCM.

Le correzioni di errori riguardano vari ambiti:

• Admin: dopo la revoca di un certificato non era possibile eliminare gli utenti locali e le impostazioni del fuso orario non venivano salvate correttamente, anche nel Cfgserver.
• Clustering: connector.pl non terminava le connessioni di injection iniziali. Nella visualizzazione dello stato del cluster non vengono più mostrati avvisi SSH superflui.
• Attività in background: i processi ancora in esecuzione vengono gestiti in modo da evitare sovrapposizioni.
• RuleEngine: è stata corretta la gestione della directory temporanea, ai messaggi LFT talvolta mancavano allegati cifrati e i controlli di revoca ignorati vengono registrati meglio.
• Webmail (GINA): i dati memorizzati nella cache venivano convalidati rispetto a un valore errato ed è stata corretta la gestione delle sessioni.

La correzione del fuso orario si ricollega alla 15.0.6, che aveva impostato l’appliance su fusi orari validi (predefinito Europe/Zurich).

Correzioni di sicurezza nella 15.1.0

La 15.1.0 contiene due correzioni di sicurezza, entrambe derivanti, secondo le Release Notes, da un audit di Emposo. Nella Revision History, alla data del 26 ottobre 2026, per entrambe era ancora in attesa un ID CVE («Pending»).

• Gestione della CA root tramite API REST, CVSS 9.9: controllo insufficiente delle autorizzazioni nell’API di gestione crittografica. Un token API senza diritti MSP poteva aggiungere, modificare o eliminare certificati RootCA. L’accesso all’endpoint /crypto/rootca è ora limitato ai token MSP. La Revision History indica come interessate le versioni precedenti alla 15.0.6.1, ma riporta la correzione nella 15.1.0. Dalle fonti non si può stabilire con certezza se la 15.0.6.1 e la 15.0.7 siano già protette (situazione al 26 ottobre 2026).
• XSS memorizzato nel visualizzatore dei log, CVSS 7.1: tramite un Message-ID manipolato era possibile iniettare JavaScript nella GUI di amministrazione. I dati esterni vengono ora sottoposti a escape. Sono interessate le versioni precedenti alla 15.1.0.

Inoltre, tutte le chiamate a qx(...) sono state sostituite da run_shell_safe, affinché gli argomenti vengano sottoposti a escape durante la chiamata della shell; il produttore la indica come attività di manutenzione. Poiché la lacuna della CA root viene sfruttata tramite un token API, verificate i token dell’API REST assegnati e i relativi diritti finché non è installata la 15.1.0.1.

Nuove funzioni nella 15.1.0

• Amministrazione: viene monitorata la crescita del database LDAP. Gli amministratori delegati vedono soltanto gli account del proprio tenant. Per i keyserver esterni è disponibile un test di connessione.
• Notifiche: l’appliance segnala i backup e-mail non riusciti, informa i partner di comunicazione in merito ai certificati in scadenza e avvisa quando la memoria LFM raggiunge il limite di capacità.
• API REST: le richieste all’API REST possono essere sottoposte ad audit.
• RuleEngine: i messaggi ricevono metadati sulle azioni eseguite e i comandi personalizzati possono collegarsi a PostgreSQL.
• Webmail (GINA): è possibile limitare i tipi di file che i partner esterni possono caricare tramite GINA.

Sono inoltre state modificate la sincronizzazione LDAP per installazioni medie e grandi, la verifica delle revoche dei certificati e la visualizzazione delle notifiche e-mail generate. OpenSSL è ora alla versione 3.5.8, OpenSSH (sshd) alla 10.4. È stata corretta una definizione API incompleta per le informazioni sui certificati.

Vale la pena configurare la limitazione dei caricamenti in GINA e l’auditing dell’API REST dopo l’aggiornamento, soprattutto se partner esterni inviano file tramite GINA o più sistemi accedono all’appliance tramite API.

Hotfix 15.1.0.1

L’hotfix del 29 settembre 2026 corregge un errore interno del server nella pagina di modifica di un dominio GINA. Le Release Notes non menzionano altri punti.

Procedura consigliata

La versione di destinazione è la 15.1.0.1. Secondo la Revision History, la 15.0.7 è la release che consente l’aggiornamento alla 15.1; i sistemi con 15.0.6.1 o versioni precedenti vanno quindi aggiornati prima alla 15.0.7 e poi alla 15.1.0.1. Chi rimane per il momento nel ramo 15.0 dovrebbe installare almeno la 15.0.7, poiché risolve CVE-2026-84830 e CVE-2026-84831; le correzioni per la CA root e l’XSS della 15.1.0 sono riportate nelle Release Notes solo per la 15.1. Prima di ogni aggiornamento, create un backup e, per le appliance virtuali, anche uno snapshot, come raccomandato dalla documentazione del produttore. Le Release Notes per queste versioni non contengono indicazioni su Known Issues, fine del supporto del ramo 15.0 o sequenza di aggiornamento nel cluster (situazione al 26 ottobre 2026).