CVE-2026-114472
Publiée le 2026-10-21 · Dernière modification le 2026-10-29
Les versions 6.0.0 à 6.3.6 de hMailServer sont concernées. Ce logiciel gère les services de messagerie et utilise un répondant ACME sur le port 80 pour automatiser le renouvellement des certificats TLS. La faille provient du fait que le répondant ne traite qu'une seule connexion à la fois et attend cinq secondes la réception de données avant de passer à la requête suivante.
Un attaquant distant non authentifié peut bloquer l'émission ou le renouvellement des certificats en ouvrant quelques connexions inactives sur le port 80, empêchant ainsi l'autorité de certification de valider le serveur. Bien que cela ne compromette ni la confidentialité ni l'intégrité des données, cela peut entraîner l'expiration des certificats et, par conséquent, des problèmes de disponibilité du service pour les clients. L'exécution de cette action nécessite un accès réseau au port 80, mais ne requiert aucun privilège particulier ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Insufficient resource pool in the ACME HTTP-01 challenge responder of Progressive Robot hMailServer 6.0.0 through 6.3.6 allows a remote unauthenticated attacker to cause a certificate issuance or renewal to fail. When the server obtains or renews a TLS certificate over ACME it runs an HTTP-01 challenge responder on port 80 for the certificate authority to read the challenge token; the responder served one connection at a time, accepting a socket, waiting up to five seconds to receive a request, answering it, and only then accepting the next. A client that connected and sent nothing held the single worker for the whole timeout, so enough idle connections during a validation keep the certificate authority's own request from being answered in time and the validation fails. Sustained across a certificate's renewals this leads to the certificate expiring, after which clients refuse the server's TLS; the mail service itself continues on its current certificate until then. No authentication is required to connect to the responder. Version 6.3.7 serves up to 64 connections at once and closes a connection past that, so that where a handful of idle connections, one after another, sufficed before, a client must keep 64 idle connections open at once throughout a validation to have the certificate authority's connection closed.