SEPPmail 15.1.1: cinque correzioni CVE e fix per la regressione DNS di 15.1.0.1

SEPPmail ha rilasciato la patch 15.1.1 il 27 ottobre 2026. Corregge cinque vulnerabilità con valori CVSS compresi tra 6.9 e 9.2, tra cui una possibile esecuzione di codice tramite regole di sostituzione degli indirizzi e la lettura o l’eliminazione di file arbitrari tramite allegati Large File Transfer manipolati. Sono inoltre inclusi un rafforzamento dell’elaborazione PGP, una correzione della risoluzione DNS diventata difettosa con 15.1.0.1, nonché modifiche a MPKI, S/MIME, backup e virtualizzazione. La release è destinata a tutti gli operatori di appliance SEPPmail, incluse le appliance utilizzate come HIN Mailgateway, poiché si basano sul firmware SEPPmail. Lo stato precedente è descritto nell’articolo SEPPmail 15.0.7, 15.1.0 e 15.1.0.1.

Panoramica delle versioni

Correzioni di sicurezza in 15.1.1

La Revision History elenca cinque voci con ID CVE. In ogni caso indica come interessate le versioni precedenti alla 15.1.1; non specifica una versione CVSS.

• CVE-2026-114424, CVSS 9.2: I valori di sostituzione nelle regole di sostituzione degli indirizzi venivano elaborati in modo errato. Se un set di regole utilizzava valori del messaggio come valore sostitutivo, un mittente remoto poteva eseguire comandi sull’appliance. La valutazione è stata rafforzata.
• CVE-2026-114425, CVSS 9.2: Metadati di allegati appositamente creati nei messaggi in arrivo potevano indurre l’elaborazione Large File Transfer (LFT) a leggere o eliminare file arbitrari. I metadati vengono ora convalidati prima di ogni accesso ai file.
• CVE-2026-114426, CVSS 8.7: L’interfaccia di upload elaborava i dati della richiesta prima di verificare l’autenticazione. Gli aggressori non autenticati potevano quindi esaurire lo spazio di archiviazione e i processi worker. L’autenticazione avviene ora per prima; inoltre, la dimensione dell’upload è limitata.
• CVE-2026-114420, CVSS 8.3, e CVE-2026-114421, CVSS 6.9: Un escaping insufficiente nelle ricerche di account e un controllo mancante nel processo di recupero della password consentivano di assumere il controllo degli account GINA. I valori dei filtri LDAP vengono ora sottoposti a escaping e il recupero interroga solo gli utenti registrati con domande di sicurezza configurate. La Revision History descrive entrambe le CVE con testo e correzione identici, ma indica valori CVSS diversi.

Altri due punti riguardano PGP, ma non hanno un ID CVE: le chiavi con User ID non autofirmati non vengono più accettate e i messaggi PGP senza crittografia effettiva (crittografia NULL) vengono rilevati e non più contrassegnati come crittografati.

Al 3 novembre 2026, le cinque voci CVE non sono pubblicate né su CVE.org né nella NVD. Pertanto, vettori, assegnazione CWE e una valutazione dello sfruttamento non sono ancora disponibili; i valori CVSS provengono dalla Revision History. Due delle vulnerabilità (CVE-2026-114424 e CVE-2026-114425) possono essere attivate tramite messaggi in arrivo secondo la descrizione del produttore, mentre CVE-2026-114426 non richiede autenticazione. Fino all’aggiornamento, verificate quali regole di sostituzione degli indirizzi adottano valori dal messaggio e se LFT e il recupero password GINA sono attivi.

Per le due correzioni di sicurezza di 15.1.0 (gestione della CA root tramite REST API con CVSS 9.9 e Stored XSS nel visualizzatore dei log con CVSS 7.1), la Revision History continua a riportare “CVE-ID: Pending” (al 3 novembre 2026).

Nuove funzionalità e modifiche

• Virtualizzazione: L’appliance supporta QEMU Guest Agent (qemu-ga).
• Admin: Una nuova opzione di sistema disattiva la raccolta dei dati Customer Summary, che secondo il produttore può richiedere molto tempo nelle installazioni di grandi dimensioni.
• Backup nel cluster: Tutti i membri del cluster creano un backup del database, ma viene inviato solo dal Maintenance Node. Un Backup Operator mancante non viene più visualizzato come errore nel Daily Report, poiché i database di grandi dimensioni vengono generalmente salvati tramite SCP.
• Core dump: La dimensione predefinita è limitata affinché i core dump non riempiano la partizione /tmp.
• RuleEngine: Se durante la firma o la crittografia manca il materiale della chiave, l’appliance lo genera automaticamente (se necessario con un utente locale), purché siano attivate le opzioni corrispondenti. In caso contrario, il messaggio non viene più rifiutato.
• S/MIME: Se l’eliminazione automatica e il controllo giornaliero delle revoche sono attivi, anche i certificati revocati vengono eliminati automaticamente.
• MPKI: Il connettore D-Trust è conforme alla specifica del connettore 2.28, la catena della CA root GlobalSign è stata aggiornata e gli ordini SwissSignREST non emessi in tempo rimangono in sospeso e vengono completati in seguito, evitando così duplicati.
• Disclaimer: Gli header Content-ID delle immagini inline e degli allegati sono conformi a RFC 2045.
• Outlook Add-In: Il supporto per HIN ACS nel COM Outlook Add-In è stato rimosso, poiché secondo le note di rilascio HIN fornisce un proprio software.

Gli operatori di un HIN Mailgateway i cui utenti utilizzano HIN ACS tramite il COM Outlook Add-In dovrebbero chiarire prima dell’aggiornamento quale software HIN assume questa funzione. Se l’eliminazione automatica dei certificati è attivata insieme al controllo giornaliero delle revoche, dopo l’aggiornamento l’appliance rimuove anche i certificati S/MIME revocati.

Correzioni di errori

• Sistema operativo: Dopo la configurazione di una zona DNS locale con il resolver integrato, dalla versione 15.1.0.1 non era più possibile risolvere nomi DNS esterni.
• Admin: L’anteprima HTML per i disclaimer non funzionava dalla 15.0.6.1. I file di disclaimer e template vengono ora scritti in UTF-8, evitando il danneggiamento dei caratteri speciali. La pagina delle impostazioni del dominio gestito viene caricata correttamente dopo la creazione di un Managed Domain.
• Logging: La pagina del logging del database viene caricata anche per voci con dati vuoti, i log di posta ruotati sono nuovamente consultabili e la ricostruzione dell’indice dell’archivio dei log di posta avviene senza errori.
• REST API: PUT /v1/ssl restituisce il messaggio di errore effettivo invece di un errore interno del server e PUT /webmail/domain/{domainName} funziona con l’opzione “Initial password via SMS” attivata.
• S/MIME: Il risultato del controllo CRL sovrascrive ora il risultato OCSP, in modo che i certificati revocati vengano contrassegnati come revocati.
• RuleEngine: make_lft() funziona quando un LFT ha più destinatari e solo una parte di essi è autorizzata.
• Webmail (GINA): Le conferme di lettura per i messaggi inviati a più destinatari vengono inviate a tutti i destinatari anziché solo al primo.
• MPKI: Le impostazioni del connettore SwissSignREST vengono caricate nella GUI di amministrazione.

Problemi noti

• Risoluzione DNS con zona DNS locale (15.1.0.1): corretta in 15.1.1.
• Anteprima HTML per disclaimer (dalla 15.0.6.1): corretta in 15.1.1.
• ID CVE per le correzioni di sicurezza di 15.1.0: ancora in sospeso (“Pending”, al 3 novembre 2026).

Le note di rilascio di 15.1.1 non contengono una sezione Known Issues.

Procedura consigliata

La versione di destinazione è 15.1.1, poiché tutte e cinque le nuove CVE interessano le versioni precedenti alla 15.1.1 e due di esse sono sfruttabili tramite messaggi in arrivo. Secondo la Revision History, la 15.0.7 consente l’aggiornamento alla 15.1; i sistemi nel ramo 15.0 devono quindi essere aggiornati prima alla 15.0.7 e successivamente alla 15.1.1. Prima dell’aggiornamento, create un backup e, per le appliance virtuali, anche uno snapshot, come raccomandato dalla documentazione del produttore. Le note di rilascio non contengono informazioni sull’ordine di aggiornamento nel cluster o su una versione minima per la 15.1.1 (al 3 novembre 2026).