Descoberta e escopo
Vulnerabilidades críticas foram descobertas no SEPPmail Secure E-Mail Gateway, uma solução de segurança de e-mail empresarial, que podem ser exploradas para alcançar execução remota de código e permitir que um atacante leia tráfego de e-mail arbitrário da appliance virtual.
As falhas afetam versões anteriores aos lançamentos corrigidos na branch 15.x e incluem múltiplas falhas de alto impacto que comprometem a integridade e confidencialidade do gateway.
Análise técnica detalhada
A falha mais crítica, CVE-2026-2743, afeta o componente de Transferência de Arquivos Grandes (LFT). O backend falha em sanitizar caminhos de arquivos fornecidos pelo usuário durante uploads, permitindo que atacantes explorem sequências de travessia de diretório como ../. Isso possibilita escritas arbitrárias de arquivos fora do diretório pretendido.
Outras falhas incluem injeção de código Perl (CVE-2026-44128), Inclusão de Arquivo Local (LFI) (CVE-2026-44127) e exposição de variáveis de ambiente sensíveis sem autenticação (CVE-2026-7864).
Impacto e alcance
Essas vulnerabilidades expõem organizações a execução remota de código e potencial interceptação de tráfego de e-mail sensível. O SEPPmail é amplamente implantado na região DACH e em outras partes do mundo, afetando empresas que dependem de gateways de e-mail seguros.
O comprometimento do gateway permite o acesso a credenciais, chaves e comunicações internas, além de estabelecer acesso persistente na rede.
Medidas de mitigação recomendadas
Organizações usando SEPPmail devem tomar medidas imediatas:
- Atualizar para a versão corrigida mais recente (15.0.4 ou posterior).
- Desativar recursos não utilizados como LFT e GINA V2 se não forem necessários.
- Restringir o acesso a endpoints de API expostos.
- Monitorar logs para atividade incomum ou rotação forçada de logs.
- Realizar auditorias internas para comprometimento potencial.
Perguntas frequentes
Qual a severidade das falhas?
As falhas são classificadas como críticas devido à execução remota de código e acesso não autorizado.
Como identificar se fui afetado?
Verifique se você está usando versões do SEPPmail anteriores à 15.0.4 e se os recursos LFT e GINA V2 estão habilitados.
Existe PoC disponível?
Sim, pesquisadores demonstraram a exploração, mas a correção oficial já está disponível.