SEPPmail 15.0.7, 15.1.0 och 15.1.0.1: CVE-korrigeringar och ny funktionsgren

SEPPmail släppte patchversionen 15.0.7 den 2 september 2026, funktionsversionen 15.1.0 den 28 september 2026 och snabbkorrigeringen 15.1.0.1 den 29 september 2026. Patchversionen åtgärdar flera sårbarheter med CVSS-värden mellan 7.7 och 8.6, uppdaterar OpenSSL och är enligt tillverkaren den sista versionen i 15.0-grenen som samtidigt möjliggör uppdatering till 15.1. Version 15.1.0 erbjuder nya funktioner för administration, övervakning, REST-API och webbmail samt ytterligare två säkerhetskorrigeringar, varav en med CVSS 9.9. Versionerna riktar sig till alla operatörer av SEPPmail-appliances, även appliances som körs som HIN Mailgateway, eftersom dessa baseras på SEPPmail-firmware. Föregående status beskrivs i artikeln om SEPPmail 15.0.6 och 15.0.6.1.

Versionerna i korthet

Säkerhetskorrigeringar i 15.0.7

Revisionshistoriken listar tre säkerhetsposter för 15.0.7. Två av dem har publicerats som CVE sedan den 3 september 2026; CNA är NCSC och de upptäcktes av Oualid Lkhaouni (Emposo GmbH).

• CVE-2026-84830, CVSS 8.6 (v4.0): Command Injection (CWE-78) i privilegierad konfigurationsbearbetning. Autentiserade administratörer kunde köra kommandon med förhöjda behörigheter. Alla versioner före 15.0.7 berörs.
• CVE-2026-84831, CVSS 7.7 (v4.0): Kringgående av obligatorisk MFA före registrering (CWE-287, CWE-306). Appliancen skapade en session med fullständiga behörigheter innan den obligatoriska MFA-registreringen hade slutförts. Den som känner till lösenordet för ett konto med obligatorisk MFA men som ännu inte registrerats kunde använda skyddade funktioner utan andra faktorn. Versioner före 15.0.7 berörs.
• CVE-2026-84832, CVSS 8.6 (v4.0): osäker deserialisering i ett privilegierat REST-importflöde (CWE-502). En angripare med en privilegierad API-token kunde köra godtyckliga kommandon med användaren ”nobody”:s behörigheter. Posten finns i avsnittet för 15.0.7, men enligt Release Notes och CVE-posten berörs versioner före 15.0.6. System med 15.0.6 eller 15.0.6.1 är redan skyddade enligt dessa uppgifter.

CISA-ADP-bedömningen i CVE-posterna är för samtliga tre sårbarheter ”Exploitation: none” (status 8 oktober 2026). Alla tre kräver autentisering: ett administratörskonto, ett känt lösenord till ett ännu inte MFA-registrerat konto eller en privilegierad API-token. Kontrollera därför, utöver uppdateringen, vilka konton som har obligatorisk MFA men ännu inte är registrerade samt vilka API-token som utfärdats med vilka behörigheter.

Ytterligare ändringar i 15.0.7

OpenSSL har uppdaterats till 3.0.22. Release Notes nämner CVE-2026-63072, CVE-2026-63076, CVE-2026-54874, CVE-2026-63074 och CVE-2026-75803 samt korrigerad kontroll av autentiseringstaggar för tomma chiffertexter i CCM-läge.

Felrättningarna berör flera områden:

• Admin: Lokala användare kunde inte raderas efter en certifikatspärr, och tidszonsinställningar sparades inte korrekt, även i Cfgserver.
• Klustring: connector.pl avslutade inte initiala injection-anslutningar. Onödiga SSH-varningar visas inte längre vid visning av klusterstatus.
• Bakgrundsjobb: Processer som fortfarande kör behandlas så att processer inte längre överlappar varandra.
• RuleEngine: Hanteringen av den tillfälliga katalogen har korrigerats, LFT-meddelanden saknade ibland krypterade bilagor och överhoppade spärrkontroller loggas bättre.
• Webbmail (GINA): Cachade data validerades mot fel värde och sessionshanteringen har korrigerats.

Tidszonskorrigeringen följer på 15.0.6, som hade ställt om appliancen till giltiga tidszoner (standard Europe/Zurich).

Säkerhetskorrigeringar i 15.1.0

15.1.0 innehåller två säkerhetskorrigeringar, båda enligt Release Notes från en granskning av Emposo. En CVE-ID var enligt revisionshistoriken för båda fortfarande väntande (”Pending”) den 26 oktober 2026.

• Root CA-hantering via REST-API, CVSS 9.9: Otillräcklig behörighetskontroll i API:t för kryptohantering. En API-token utan MSP-behörigheter kunde lägga till, ändra eller radera RootCA-certifikat. Åtkomst till slutpunkten /crypto/rootca är nu begränsad till MSP-token. Revisionshistoriken anger versioner under 15.0.6.1 som berörda, men listar korrigeringen under 15.1.0. Det går inte att tydligt avgöra från källorna om 15.0.6.1 och 15.0.7 redan är skyddade (status 26 oktober 2026).
• Lagrad XSS i loggvisaren, CVSS 7.1: JavaScript kunde injiceras i admin-GUI:t via ett manipulerat Message-ID. Externa data escape:as nu. Versioner under 15.1.0 berörs.

Dessutom har alla qx(...)-anrop ersatts med run_shell_safe, så att argument escape:as vid shell-anrop; tillverkaren listar detta som underhållsarbete. Eftersom Root CA-sårbarheten utnyttjas via en API-token bör du kontrollera utfärdade REST-API-token och deras behörigheter tills 15.1.0.1 har installerats.

Nya funktioner i 15.1.0

• Administration: LDAP-databasens tillväxt övervakas. Delegerade administratörer ser endast sin organisations konton. Det finns ett anslutningstest för externa keyservrar.
• Aviseringar: Appliancen rapporterar misslyckade e-postsäkerhetskopior, meddelar kommunikationspartner om certifikat som håller på att löpa ut och varnar när LFM-minnet når sin kapacitetsgräns.
• REST-API: Förfrågningar till REST-API:t kan granskas.
• RuleEngine: Meddelanden får metadata om utförda åtgärder och anpassade kommandon kan ansluta PostgreSQL.
• Webbmail (GINA): Det går att begränsa de filtyper som externa partner får ladda upp via GINA.

Dessutom har LDAP-synkroniseringen för medelstora och stora installationer, kontrollen av certifikatspärrar och visningen av genererade e-postaviseringar ändrats. OpenSSL är nu version 3.5.8 och OpenSSH (sshd) version 10.4. En ofullständig API-definition för certifikatinformation har korrigerats.

Det är värt att konfigurera uppladdningsbegränsningen i GINA och granskningen av REST-API efter uppdateringen, särskilt om externa partner skickar in filer via GINA eller flera system har API-åtkomst till appliancen.

Snabbkorrigering 15.1.0.1

Snabbkorrigeringen från den 29 september 2026 åtgärdar ett internt serverfel på sidan för redigering av en GINA-domän. Release Notes nämner inga ytterligare punkter.

Rekommenderat tillvägagångssätt

Målversionen är 15.1.0.1. Enligt revisionshistoriken är 15.0.7 den version som möjliggör uppdatering till 15.1. System med 15.0.6.1 eller äldre ska därför först uppdateras till 15.0.7 och därefter till 15.1.0.1. Den som tills vidare stannar i 15.0-grenen bör minst installera 15.0.7, eftersom CVE-2026-84830 och CVE-2026-84831 är åtgärdade där; Root CA-korrigeringen och XSS-korrigeringen från 15.1.0 listas i Release Notes endast för 15.1. Skapa en säkerhetskopia före varje uppdatering och, för virtuella appliances, även en snapshot, enligt tillverkarens dokumentation. Release Notes för dessa versioner innehåller inga uppgifter om kända problem, supportslut för 15.0-grenen eller uppdateringsordningen i klustret (status 26 oktober 2026).