Eine neu offengelegte kritische Schwachstelle in SmarterMail bringt Tausende aus dem Internet erreichbare Mailserver in Gefahr, vollständig übernommen zu werden.
Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien hochzuladen, wodurch eine Remote-Code-Ausführung und bei fehlenden Patches möglicherweise die vollständige Kompromittierung des Systems möglich werden.
„Unsere Analyse zeigt, dass in der Woche nach der Veröffentlichung weniger als 1 % der verwundbaren SmarterMail-Instanzen gepatcht wurden. Dadurch waren fast 11.000 exponierte Hosts im Internet weiterhin gefährdet“, sagte Matthew Guidry, Senior Product Detection Engineer bei Censys.
Er erklärte: „Dies macht eine kritische Lücke im Schwachstellenmanagement deutlich: Unternehmen fehlt häufig der Überblick über ihre aus dem Internet erreichbaren Systeme und die erforderlichen Prozesse, um diese schnell zu patchen.“
Matthew ergänzte: „Wir empfehlen Unternehmen, die SmarterMail-Installationen betreiben, unverzüglich auf die neueste Version zu aktualisieren und darüber hinaus eine kontinuierliche externe Überwachung einzurichten, um verwundbare Systeme zu identifizieren und zu priorisieren, bevor sie ausgenutzt werden können.“
Die SmarterMail-RCE-Schwachstelle im Detail
CVE-2025-52691geht auf eine unzureichende Eingabevalidierung in der Logik zur Verarbeitung von Datei-Uploads in SmarterMail zurück.
Konkret überprüft die Anwendung weder den Typ der hochgeladenen Dateien noch die Dateisystempfade, in die diese Dateien geschrieben werden, ausreichend.
Dadurch können nicht authentifizierte Anfragen so erstellt werden, dass sie die vorgesehenen Einschränkungen umgehen und beliebige Dateien an vom Angreifer kontrollierte Speicherorte auf dem Server schreiben.
Unter normalen Bedingungen sind Datei-Uploads in SmarterMail auf bestimmte Verzeichnisse beschränkt und durch Authentifizierungsprüfungen abgesichert.
In verwundbaren Builds können Angreifer jedoch Anfrageparameter manipulieren, um diese Grenzen zu umgehen.
Dadurch lassen sich Dateien außerhalb der freigegebenen Upload-Pfade ablegen, unter anderem in Verzeichnissen, die vom Betriebssystem oder den zugrunde liegenden Webdiensten interpretiert oder ausgeführt werden können.
Das Risiko steigt bei SmarterMail-Installationen auf Windows-Basis, die in Unternehmensumgebungen häufig vorkommen. Angreifer könnten ausführbare Binärdateien, Skripte oder Webshells hochladen und an Orten platzieren, von denen aus sie direkt oder indirekt aufgerufen werden können.
Bei ihrer Ausführung würden diese Payloads typischerweise mit den Rechten des SmarterMail-Dienstkontos laufen und könnten dadurch weitreichenden Zugriff auf das Hostsystem, installierte Anwendungen und gespeicherte Daten erhalten.
Sobald eine Remote-Code-Ausführung erreicht ist, können Angreifer durch die Installation von Backdoors, das Erstellen geplanter Aufgaben oder die Änderung von Startkonfigurationen Persistenz herstellen.
Von dort aus kann der kompromittierte Mailserver dazu genutzt werden, Zugangsdaten abzugreifen, E-Mail-Verkehr abzufangen oder zu manipulieren, schädliche E-Mails zu verbreiten oder als Ausgangspunkt für die laterale Bewegungtiefer in das Netzwerk des Unternehmens zu dienen.
Der CVSS-Score von 10,0 spiegelt eine aus der Ferne ausnutzbare Schwachstelle wider, die keine Authentifizierung erfordert.
Obwohl derzeit kein öffentlich verfügbarer Proof-of-Concept-Exploit und keine bestätigten Berichte über eine Ausnutzung in freier Wildbahn vorliegen, werden Schwachstellen mit Potenzial für nicht authentifizierte Datei-Uploads und RCE häufig angegriffen.
Das Risiko durch die SmarterMail-RCE-Schwachstelle reduzieren
Die Schwachstelle stellt ein unmittelbares Risiko für Unternehmen dar, die verwundbare Versionen von SmarterMail einsetzen, insbesondere für solche mit aus dem Internet erreichbaren Mailservern.
Da die Schwachstelle nicht authentifizierte Datei-Uploads ermöglicht, die zu einer Remote-Code-Ausführung führen können, erhöht eine verzögerte Behebung die Wahrscheinlichkeit einer vollständigen Systemkompromittierung.
- Den Anbieter-Patchanwenden, indem Sie auf SmarterMail Build 9413 oder höher aktualisieren, um CVE-2025-52691 vollständig zu beheben.
- Die Internet-Exposition begrenzen und das Prinzip der geringsten Rechtedurch eine möglichst weitgehende Einschränkung des externen Zugriffs durchsetzen und sicherstellen, dass der SmarterMail-Dienst mit minimalen Systemberechtigungen ausgeführt wird.
- Ausführung und Dateisystemkontrollen härtendurch Application-Allowlisting und indem die Ausführung aus Upload-, temporären und aus dem Web erreichbaren Verzeichnissen blockiert wird.
- Mehrschichtige Netzwerkschutzmaßnahmen einsetzenwie Firewalls, Reverse-Proxys oder Web Application Firewalls (WAFs), um verdächtige Upload-Aktivitäten zu erkennen und zu blockieren.
- Auf Anzeichen einer Kompromittierung achtenindem Protokolle überprüft, die Überwachung der Dateiintegrität aktiviert und unerwartete Dateierstellungen oder ausgehende Verbindungen beobachtet werden.
- Incident-Response-Plänemit Tabletop-Übungen testen und für geeignete Backups sorgen.
Zusammengenommen verringern diese Maßnahmen die Wahrscheinlichkeit einer erfolgreichen Ausnutzung und begrenzen den Wirkungsbereich.
Warum E-Mail-Server weiterhin besonders beliebte Ziele sind
Diese Schwachstelle unterstreicht eine anhaltende Realität in der Unternehmenssicherheit: Fundamentale Infrastruktur wie E-Mail-Server bleibt ein wertvolles Ziel für Angreifer.
Mailserver sind besonders attraktiv, weil sie an der Schnittstelle zwischen sensibler Kommunikation, Authentifizierungsprozessen und dem Vertrauen der Nutzer stehen.
Wenn selbst zentraler Infrastruktur wie E-Mail-Server nicht implizit vertraut werden kann, müssen Sicherheitsstrategien auf Zero-Trust-Modelle umgestellt werden, die von einer Kompromittierung ausgehen und den Zugriff standardmäßig beschränken.