SEPPmail 15.0.7, 15.1.0 og 15.1.0.1: CVE-rettinger og ny funksjonsgren

SEPPmail publiserte patchutgivelsen 15.0.7 2. september 2026, funksjonsutgivelsen 15.1.0 28. september 2026 og hurtigreparasjonen 15.1.0.1 29. september 2026. Patchutgivelsen lukker flere sårbarheter med CVSS-verdier mellom 7.7 og 8.6, oppdaterer OpenSSL og er ifølge produsenten den siste utgivelsen i 15.0-grenen, som samtidig muliggjør oppdateringen til 15.1. 15.1.0 gir nye funksjoner for administrasjon, overvåking, REST-API og webmail, samt to ytterligere sikkerhetsrettinger, hvorav én med CVSS 9.9. Utgivelsene er rettet mot alle operatører av SEPPmail-apparater, også apparater som kjører som HIN Mailgateway, siden disse er basert på SEPPmail-fastvaren. Forrige status er beskrevet i artikkelen om SEPPmail 15.0.6 og 15.0.6.1.

Versjonene i oversikt

Sikkerhetsrettinger i 15.0.7

Revisjonshistorikken oppgir tre sikkerhetsoppføringer for 15.0.7. To av dem har vært publisert som CVE-er siden 3. september 2026; CNA er NCSC, og de ble funnet av Oualid Lkhaouni (Emposo GmbH).

• CVE-2026-84830, CVSS 8.6 (v4.0): Kommandoinjeksjon (CWE-78) i privilegert konfigurasjonsbehandling. Autentiserte administratorer kunne kjøre kommandoer med utvidede rettigheter. Alle versjoner før 15.0.7 er berørt.
• CVE-2026-84831, CVSS 7.7 (v4.0): Omgåelse av obligatorisk MFA før registrering (CWE-287, CWE-306). Apparatet opprettet en økt med fulle privilegier før den påkrevde MFA-registreringen var fullført. Den som kjenner passordet til en MFA-obligatorisk, men ennå ikke registrert konto, kunne bruke beskyttede funksjoner uten andre faktor. Versjoner før 15.0.7 er berørt.
• CVE-2026-84832, CVSS 8.6 (v4.0): Usikker deserialisering i en privilegert REST-importprosess (CWE-502). En angriper med et privilegert API-token kunne kjøre vilkårlige kommandoer med rettighetene til brukeren «nobody». Oppføringen står i delen for 15.0.7, men utgivelsesnotatene og CVE-oppføringen angir versjoner før 15.0.6 som berørt. Systemer på 15.0.6 eller 15.0.6.1 er allerede beskyttet ifølge disse opplysningene.

CISA-ADP-vurderingen i CVE-oppføringene er «Exploitation: none» for alle de tre sårbarhetene (per 8. oktober 2026). Alle tre krever autentisering: en administratorkonto, et kjent passord til en konto som ennå ikke er MFA-registrert, eller et privilegert API-token. Kontroller derfor, i tillegg til oppdateringen, hvilke kontoer som er MFA-obligatoriske, men ennå ikke registrert, og hvilke API-tokener som er utstedt med hvilke rettigheter.

Andre endringer i 15.0.7

OpenSSL ble oppdatert til 3.0.22. Utgivelsesnotatene nevner CVE-2026-63072, CVE-2026-63076, CVE-2026-54874, CVE-2026-63074 og CVE-2026-75803, samt en korrigert kontroll av autentiseringstagger for tomme chiffertekster i CCM-modus.

Feilrettingene gjelder flere områder:

• Admin: Lokale brukere kunne ikke slettes etter en sertifikattilbakekalling, og tidssoneinnstillinger ble ikke lagret korrekt (også i Cfgserver).
• Clustering: connector.pl avsluttet ikke innledende Injection-forbindelser. Ved visning av klyngestatus vises det ikke lenger unødvendige SSH-advarsler.
• Bakgrunnsoppgaver: Prosesser som fortsatt kjører, behandles slik at prosesser ikke lenger overlapper.
• RuleEngine: Administrasjonen av den midlertidige katalogen ble korrigert, LFT-meldinger manglet delvis krypterte vedlegg, og oversprungne tilbakekallingskontroller loggføres bedre.
• Webmail (GINA): Bufrede data ble validert mot feil verdi, og økthåndteringen ble korrigert.

Tidssonekorreksjonen følger opp 15.0.6, som hadde satt apparatet til gyldige tidssoner (standard Europe/Zurich).

Sikkerhetsrettinger i 15.1.0

15.1.0 inneholder to sikkerhetsrettinger, begge ifølge utgivelsesnotatene fra en revisjon utført av Emposo. En CVE-ID var fortsatt utestående («Pending») for begge i revisjonshistorikken per 26. oktober 2026.

• Root-CA-administrasjon via REST-API, CVSS 9.9: Utilstrekkelig rettighetskontroll i API-et for kryptoadministrasjon. Et API-token uten MSP-rettigheter kunne legge til, endre eller slette RootCA-sertifikater. Tilgangen til endepunktet /crypto/rootca er nå begrenset til MSP-tokener. Revisjonshistorikken angir versjoner under 15.0.6.1 som berørt, men fører rettingen under 15.1.0. Det kan ikke entydig utledes av kildene om 15.0.6.1 og 15.0.7 allerede er beskyttet (per 26. oktober 2026).
• Lagret XSS i loggvisningen, CVSS 7.1: JavaScript kunne injiseres i administrasjonsgrensesnittet via en manipulert Message-ID. Eksterne data escapes nå. Versjoner under 15.1.0 er berørt.

I tillegg ble alle qx(...)-kall erstattet med run_shell_safe, slik at argumenter escapes ved shell-kall; produsenten oppgir dette som vedlikeholdsarbeid. Siden Root-CA-sårbarheten utnyttes via et API-token, bør du kontrollere tildelte REST-API-tokener og rettighetene deres til 15.1.0.1 er installert.

Nye funksjoner i 15.1.0

• Administrasjon: Veksten i LDAP-databasen overvåkes. Delegerte administratorer ser nå bare kontoer i sin egen tenant. Det finnes en tilkoblingstest for eksterne nøkkelservere.
• Varsler: Apparatet rapporterer mislykkede e-postsikkerhetskopier, varsler kommunikasjonspartnere om utløpende sertifikater og advarer når LFM-lageret når kapasitetsgrensen.
• REST-API: Forespørsler til REST-API-et kan revideres.
• RuleEngine: Meldinger får metadata om utførte handlinger, og egendefinerte kommandoer kan koble til PostgreSQL.
• Webmail (GINA): Filtypene som eksterne partnere kan laste opp via GINA, kan begrenses.

I tillegg ble LDAP-synkroniseringen for mellomstore og store installasjoner, kontrollen av sertifikattilbakekallinger og visningen av genererte e-postvarsler endret. OpenSSL er nå på 3.5.8, og OpenSSH (sshd) på 10.4. En ufullstendig API-definisjon for sertifikatinformasjon ble korrigert.

Det er verdt å konfigurere opplastingsbegrensningen i GINA og REST-API-revisjonssporingen etter oppdateringen, spesielt dersom eksterne partnere sender inn filer via GINA eller flere systemer får tilgang til apparatet via API-et.

Hurtigreparasjon 15.1.0.1

Hurtigreparasjonen fra 29. september 2026 retter en intern serverfeil på siden for redigering av et GINA-domene. Utgivelsesnotatene nevner ingen andre punkter.

Anbefalt fremgangsmåte

Målversjonen er 15.1.0.1. Ifølge revisjonshistorikken er 15.0.7 utgivelsen som muliggjør oppdateringen til 15.1; systemer på 15.0.6.1 eller eldre må derfor først oppdateres til 15.0.7 og deretter til 15.1.0.1. De som foreløpig blir på 15.0-grenen, bør minst installere 15.0.7, ettersom CVE-2026-84830 og CVE-2026-84831 er rettet der; Root-CA-rettingen og XSS-rettingen fra 15.1.0 er i utgivelsesnotatene kun oppført for 15.1. Opprett en sikkerhetskopi før hver oppdatering og, for virtuelle apparater, i tillegg et øyeblikksbilde, slik produsentens dokumentasjon anbefaler. Utgivelsesnotatene for disse versjonene inneholder ingen opplysninger om kjente problemer, avsluttet støtte for 15.0-grenen eller oppdateringsrekkefølgen i klyngen (per 26. oktober 2026).