SEPPmail 15.1.1: fem CVE-korrigeringar och fix för DNS-regressionen från 15.1.0.1

SEPPmail publicerade patch-versionen 15.1.1 den 27 oktober 2026. Den åtgärdar fem sårbarheter med CVSS-värden mellan 6.9 och 9.2, däribland möjlig kodexekvering via regler för adressersättning och läsning eller radering av godtyckliga filer via manipulerade Large-File-Transfer-bilagor. Därtill kommer en förstärkning av PGP-hanteringen, en korrigering av DNS-upplösningen som blev felaktig i 15.1.0.1, samt ändringar för MPKI, S/MIME, backup och virtualisering. Versionen riktar sig till alla operatörer av SEPPmail-appliances, även appliances som körs som HIN Mailgateway, eftersom dessa bygger på SEPPmail-firmware. Föregående status beskrivs i artikeln om SEPPmail 15.0.7, 15.1.0 och 15.1.0.1.

Versionerna i korthet

Säkerhetskorrigeringar i 15.1.1

Revisionshistoriken listar fem poster med CVE-ID. I samtliga fall anges versioner före 15.1.1 som berörda; någon CVSS-version anges inte.

• CVE-2026-114424, CVSS 9.2: Ersättningsvärden i regler för adressersättning behandlades felaktigt. Om en regeluppsättning använde värden från meddelandet som ersättningsvärde kunde en extern avsändare köra kommandon på applikationen. Utvärderingen har förstärkts.
• CVE-2026-114425, CVSS 9.2: Särskilt utformade bilagemetadata i inkommande meddelanden kunde få Large-File-Transfer-hanteringen (LFT) att läsa eller radera godtyckliga filer. Metadata valideras nu före varje filåtkomst.
• CVE-2026-114426, CVSS 8.7: Uppladdningsgränssnittet behandlade begärandedata innan autentiseringen kontrollerades. Oautentiserade angripare kunde därmed förbruka lagringsutrymme och worker-processer. Autentisering sker nu först, och dessutom är uppladdningsstorleken begränsad.
• CVE-2026-114420, CVSS 8.3, och CVE-2026-114421, CVSS 6.9: Otillräcklig escaping vid kontosökningar och en saknad kontroll i flödet för lösenordsåterställning möjliggjorde övertagande av GINA-konton. LDAP-filtervärden escapes nu, och återställningen frågar endast efter registrerade användare med konfigurerade säkerhetsfrågor. Revisionshistoriken beskriver båda CVE:erna med identisk text och identisk korrigering, men anger olika CVSS-värden.

Två ytterligare punkter rör PGP, men har inget CVE-ID: nycklar med User IDs som inte är självsignerade accepteras inte längre, och PGP-meddelanden utan faktisk kryptering (NULL-kryptering) upptäcks och markeras inte längre som krypterade.

Den 3 november 2026 är de fem CVE-posterna ännu inte publicerade vare sig hos CVE.org eller i NVD. Vektorer, CWE-klassificering och en bedömning av exploatering finns därför ännu inte tillgängliga; CVSS-värdena kommer från revisionshistoriken. Två av bristerna (CVE-2026-114424 och CVE-2026-114425) kan enligt tillverkarens beskrivning utlösas via inkommande meddelanden, och CVE-2026-114426 utan autentisering. Kontrollera fram till uppdateringen vilka regler för adressersättning som använder värden från meddelandet och om LFT och GINA-lösenordsåterställning är aktiva.

För de två säkerhetskorrigeringarna från 15.1.0 (Root-CA-hantering via REST-API med CVSS 9.9 och Stored XSS i loggvisaren med CVSS 7.1) står det fortfarande ”CVE-ID: Pending” i revisionshistoriken (status 3 november 2026).

Nya funktioner och ändringar

• Virtualisering: Appliancen har stöd för QEMU Guest Agent (qemu-ga).
• Admin: Ett nytt systemalternativ inaktiverar insamlingen av Customer-Summary-data, som enligt tillverkaren kan ta lång tid i stora installationer.
• Backup i kluster: Alla klustermedlemmar skapar en databasbackup, men den skickas endast från Maintenance Node. En saknad backup-operator visas inte längre som fel i Daily Report, eftersom stora databaser vanligen säkerhetskopieras via SCP.
• Core Dumps: Standardstorleken är begränsad så att Core Dumps inte fyller /tmp-partitionen.
• RuleEngine: Om nyckelmaterial saknas vid signering eller kryptering skapar appliancen det automatiskt (vid behov med lokal användare), förutsatt att motsvarande alternativ är aktiverade. Annars avvisas meddelandet inte längre.
• S/MIME: Om automatisk radering och daglig kontroll av spärrstatus är aktiverade, raderas även återkallade certifikat automatiskt.
• MPKI: D-Trust-Connector motsvarar Connector Specification 2.28, GlobalSign Root CA-kedjan har uppdaterats och SwissSignREST-beställningar som inte utfärdats i tid ligger kvar som väntande och slutförs senare för att undvika dubbletter.
• Disclaimer: Content-ID-rubrikerna för infogade bilder och bilagor följer RFC 2045.
• Outlook Add-In: Stödet för HIN ACS i COM Outlook Add-In har tagits bort, eftersom HIN enligt Release Notes tillhandahåller egen programvara.

Operatörer av en HIN Mailgateway, vars användare använder HIN ACS via COM Outlook Add-In, bör före uppdateringen klargöra vilken HIN-programvara som tar över funktionen. Om automatisk radering tillsammans med daglig kontroll av spärrstatus är aktiverad tar appliancen efter uppdateringen även bort återkallade S/MIME-certifikat.

Felrättningar

• Operativsystem: Efter konfigurering av en lokal DNS-zon med den integrerade resolvern gick externa DNS-namn inte längre att slå upp sedan 15.1.0.1.
• Admin: HTML-förhandsvisningen för disclaimers har inte fungerat sedan 15.0.6.1. Disclaimer- och template-filer skrivs nu i UTF-8, vilket gör att specialtecken inte längre skadas. Sidan med inställningar för Managed Domain laddas korrekt efter att en Managed Domain har skapats.
• Loggning: Databasloggningssidan laddas även vid poster med tomma data, roterade e-postloggar kan åter ses och ombyggnaden av arkivindexet för e-postloggar körs utan fel.
• REST-API: PUT /v1/ssl returnerar det faktiska felmeddelandet i stället för ett internt serverfel, och PUT /webmail/domain/{domainName} fungerar med aktiverat alternativ ”Initial password via SMS”.
• S/MIME: Resultatet av CRL-kontrollen skriver nu över OCSP-resultatet, så att återkallade certifikat markeras som återkallade.
• RuleEngine: make_lft() fungerar när en LFT har flera mottagare och endast en del av dem är behöriga.
• Webmail (GINA): Läsbekräftelser för meddelanden till flera mottagare skickas till alla mottagare i stället för endast till den första.
• MPKI: Inställningarna för SwissSignREST-Connector läses in i Admin-GUI.

Kända problem

• DNS-upplösning med lokal DNS-zon (15.1.0.1): åtgärdad i 15.1.1.
• HTML-förhandsvisning för disclaimers (sedan 15.0.6.1): åtgärdad i 15.1.1.
• CVE-ID:n för säkerhetskorrigeringarna från 15.1.0: fortfarande öppna (”Pending”, status 3 november 2026).

Release Notes för 15.1.1 innehåller inget avsnitt om Known Issues.

Rekommenderat tillvägagångssätt

Målversionen är 15.1.1, eftersom alla fem nya CVE:er berör versioner före 15.1.1 och två av dem kan utnyttjas via inkommande meddelanden. Enligt revisionshistoriken möjliggör 15.0.7 uppdatering till 15.1; system i 15.0-grenen ska därför först uppdateras till 15.0.7 och därefter till 15.1.1. Skapa en backup före uppdateringen och, för virtuella appliances, dessutom en snapshot, enligt tillverkarens dokumentation. Release Notes innehåller inga uppgifter om uppdateringsordning i kluster eller om en minimiversion för 15.1.1 (status 3 november 2026).