CVE-2026-24423
SmarterTools SmarterMail Missing Authentication for Critical Function Vulnerability
Beschreibung
CVE-2026-24423 ist eine kritische Schwachstelle in SmarterTools SmarterMail, die eine nicht authentifizierte Remote Code Execution ueber die ConnectToHub-API-Methode ermoeglicht. Ein Angreifer kann den SmarterMail-Server dazu bringen, sich mit einem boesartigen HTTP-Server zu verbinden, der einen schadhaften Betriebssystembefehl liefert, welcher anschliessend von der verwundbaren Anwendung ausgefuehrt wird. Die Schwachstelle erhaelt einen CVSS v3.1-Score von 9.8 (CRITICAL).
Die CISA hat CVE-2026-24423 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 26. Februar 2026. Besonders alarmierend: Der Ransomware-Status wird als Known gefuehrt, was bedeutet, dass diese Schwachstelle nachweislich in Ransomware-Angriffen verwendet wird. Der extrem hohe EPSS-Score von 26.16 % (96.2. Perzentil) unterstreicht die massive Ausnutzungswahrscheinlichkeit. Betroffen sind alle SmarterMail-Versionen vor Build 9511.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| smartertools | smartermail | < 100.0.9511 |
Referenzen
- https://code-white.com/public-vulnerability-list/#systemadminsettingscontrollerconnecttohub-missing-authentication-in-smartermail(Third Party Advisory)
- https://www.smartertools.com/smartermail/release-notes/current(Release Notes)
- https://www.vulncheck.com/advisories/smartertools-smartermail-unauthenticated-rce-via-connecttohub-api(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-24423(US Government Resource)
Schwachstellentyp
CWE-306: Missing Authentication for Critical Function
CVE-2026-24423 basiert auf CWE-306 (Missing Authentication for Critical Function), einer Schwachstellenklasse, bei der eine sicherheitskritische Funktion ohne Authentifizierung zugaenglich ist. In diesem Fall ist die ConnectToHub-API-Methode von SmarterMail oeffentlich erreichbar, obwohl sie eine hochprivilegierte Server-zu-Server-Kommunikation initiiert.
Die fehlende Authentifizierung ermoeglicht es jedem Netzwerkteilnehmer, den SmarterMail-Server zur Verbindung mit einem beliebigen HTTP-Server anzuweisen. In Kombination mit der unsicheren Verarbeitung der Server-Antwort resultiert dies in einer vollstaendigen Remote Code Execution ohne jegliche Zugangsdaten. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-24423 sind aufgrund des Ransomware-Bezugs und der kritischen Natur von E-Mail-Servern katastrophal. Vertraulichkeit: Ein kompromittierter SmarterMail-Server gibt dem Angreifer Zugriff auf saemtliche E-Mail-Kommunikation aller Benutzer, einschliesslich vertraulicher Geschaeftskorrespondenz, personenbezogener Daten und moeglicherweise in E-Mails enthaltener Zugangsdaten. E-Mail-Server enthalten typischerweise die sensibelsten Informationen eines Unternehmens (C:H).
Integritaet: Der Angreifer kann E-Mails manipulieren, neue E-Mails im Namen beliebiger Benutzer versenden und den E-Mail-Server als Plattform fuer weitere Angriffe missbrauchen. Business Email Compromise (BEC) und Phishing-Angriffe werden trivial, wenn der Angreifer den E-Mail-Server kontrolliert (I:H). Verfuegbarkeit: Die bestaetigte Nutzung in Ransomware-Angriffen (Ransomware-Status: Known) zeigt, dass Angreifer diese Schwachstelle zur Verschluesselung von E-Mail-Daten und zur Erpressung verwenden. Der vollstaendige Ausfall der E-Mail-Kommunikation kann den Geschaeftsbetrieb erheblich beeintraechtigen (A:H). Der EPSS-Score von 26.16 % positioniert diese Schwachstelle unter den am aktivsten ausgenutzten weltweit.
Exploit-Reifegrad
CVE-2026-24423 wurde von der CISA in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 26. Februar 2026. Der Ransomware-Status Known bestaetigt die aktive Verwendung durch Ransomware-Gruppen. Der EPSS-Score von 26.16 % (96.2. Perzentil) ist einer der hoechsten Werte und zeigt eine massive Ausnutzungsaktivitaet.
Code White hat die Schwachstelle in einer oeffentlichen Vulnerability-Analyse dokumentiert. VulnCheck hat ein Advisory mit technischen Details zur Schwachstelle veroeffentlicht. SmarterTools hat in den Release Notes den Fix dokumentiert. Die Kombination aus fehlender Authentifizierung, aktivem Ransomware-Einsatz und der weiten Verbreitung von SmarterMail als E-Mail-Server macht sofortiges Handeln zwingend erforderlich.
Behebung
-
SmarterMail auf Build 9511 oder hoeher aktualisieren: Dies ist die dringendste Massnahme. SmarterTools hat den Patch in Build 9511 (Version 100.0.9511) bereitgestellt. Konsultieren Sie die offiziellen Release Notes fuer Update-Anweisungen. Angesichts des Ransomware-Bezugs sollte dieses Update mit hoechster Prioritaet eingespielt werden.
-
Netzwerkzugriff auf SmarterMail einschraenken: Beschraenken Sie den Zugriff auf die SmarterMail-Administration und die API-Endpunkte auf autorisierte IP-Adressen. Implementieren Sie Web Application Firewall (WAF) Regeln, die Anfragen an den ConnectToHub-Endpunkt von nicht vertrauenswuerdigen Quellen blockieren.
-
Forensische Analyse durchfuehren: Angesichts des Ransomware-Status Known und des extrem hohen EPSS-Scores sollten alle SmarterMail-Installationen auf Kompromittierungsindikatoren untersucht werden. Pruefen Sie Server-Logs auf verdaechtige ConnectToHub-Aufrufe und ungewoehnliche ausgehende Netzwerkverbindungen.
-
Backup-Strategie verifizieren: Stellen Sie sicher, dass aktuelle, unveraenderliche Backups aller E-Mail-Daten existieren. Angesichts der Ransomware-Bedrohung sollten Backups offline oder in einem isolierten Netzwerksegment gespeichert sein.
-
Incident-Response-Plan aktivieren: Sollten Anzeichen einer Kompromittierung gefunden werden, aktivieren Sie sofort Ihren Incident-Response-Plan. Isolieren Sie den betroffenen Server vom Netzwerk und beginnen Sie mit der forensischen Untersuchung.
Technische Details
CVE-2026-24423 betrifft SmarterTools SmarterMail in allen Versionen vor Build 9511 (100.0.9511). Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt den hoechstmoeglichen Angriffsvektor: Netzwerkzugriff (AV:N), geringe Komplexitaet (AC:L), keine Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N).
Der Angriff nutzt die ConnectToHub-API-Methode in der SmarterMail-Administration, die fuer die Server-zu-Server-Kommunikation vorgesehen ist, aber keine Authentifizierung erfordert. Ein Angreifer sendet eine Anfrage an diesen Endpunkt und weist den SmarterMail-Server an, sich mit einem vom Angreifer kontrollierten HTTP-Server zu verbinden. Der boesartige Server liefert in seiner Antwort einen praeparierten OS-Befehl, den SmarterMail ohne ausreichende Validierung ausfuehrt. Dies ist effektiv eine Server-Side Request Forgery (SSRF) kombiniert mit fehlender Authentifizierung und unsicherer Befehlsausfuehrung.
Der Angriffsfluss laeuft in drei Schritten ab: Erstens sendet der Angreifer eine nicht authentifizierte Anfrage an den ConnectToHub-Endpunkt mit der URL seines boesartigen Servers. Zweitens verbindet sich SmarterMail mit dem angegebenen Server und empfaengt die manipulierte Antwort. Drittens wird der eingebettete Betriebssystembefehl im Kontext des SmarterMail-Prozesses ausgefuehrt. Betroffene Versionen umfassen alle SmarterMail-Installationen vor Build 100.0.9511.
Häufig gestellte Fragen
Warum ist CVE-2026-24423 besonders gefaehrlich?
Diese Schwachstelle vereint mehrere Risikofaktoren: Sie erfordert keine Authentifizierung, ermoeglicht Remote Code Execution, betrifft einen E-Mail-Server mit hochsensiblen Daten und wird nachweislich in Ransomware-Angriffen verwendet. Der EPSS-Score von 26.16 % gehoert zu den hoechsten ueberhaupt und zeigt massive aktive Ausnutzung.
Was bedeutet der Ransomware-Status Known?
Der Status Known im CISA KEV-Katalog bedeutet, dass Ransomware-Gruppen diese Schwachstelle aktiv nutzen, um Systeme zu kompromittieren und Daten zu verschluesseln. Betroffene Organisationen sollten neben dem Patching auch ihre Backup-Strategie ueberpruefen und auf Anzeichen einer Kompromittierung untersuchen.
Wie funktioniert der Angriff technisch?
Der Angreifer sendet eine nicht authentifizierte HTTP-Anfrage an den ConnectToHub-API-Endpunkt von SmarterMail. Diese Anfrage weist den Server an, sich mit einem vom Angreifer kontrollierten HTTP-Server zu verbinden. Der boesartige Server liefert einen OS-Befehl, der von SmarterMail ausgefuehrt wird, ohne dass eine Authentifizierung oder Benutzerinteraktion erforderlich ist.
Welche SmarterMail-Versionen sind betroffen?
Alle SmarterMail-Versionen vor Build 9511 (Version 100.0.9511) sind betroffen. SmarterTools hat den Fix in diesem Build bereitgestellt. Es wird dringend empfohlen, sofort auf die neueste verfuegbare Version zu aktualisieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.