CVE-2026-44125: SEPPmail Secure Email Gateway: Falta de Autorização na GINA UI
As versões do SEPPmail Secure Email Gateway anteriores à 15.0.4 apresentam uma falha de falta de autorização (CWE-862) em vários endpoints da nova GINA UI. O CNA classifica o problema como crítico, com pontuação CVSS 4.0 de 9.3, e o registro descreve acesso remoto sem autenticação a funções que deveriam exigir uma sessão válida. Não há inclusão no catálogo KEV da CISA nos dados consultados.
Visão geral
As versões do SEPPmail Secure Email Gateway anteriores à 15.0.4 apresentam uma falha de falta de autorização (CWE-862) em vários endpoints da nova GINA UI. Segundo o registro, esses endpoints não verificam uma sessão válida antes de disponibilizar funcionalidades. Um post de pesquisa da InfoGuard Labs trata de outras vulnerabilidades do SEPPmail; seu título cita outros identificadores CVE, portanto não deve ser lido como fonte dos detalhes desta CVE.
Impacto
- O CNA atribuiu pontuação 9.3 (crítica) pelo CVSS 4.0, com vetor de rede, baixa complexidade, sem privilégios exigidos e sem interação do usuário.
- O vetor indica alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável.
- A exploração bem-sucedida permitiria que uma parte remota não autenticada acessasse funções destinadas apenas a usuários autenticados.
Produtos e versões afetados
- Produto: SEPPmail Secure Email Gateway, versões anteriores à 15.0.4, conforme a descrição.
- O registro não contém intervalos de versões afetadas estruturados, a lista de endpoints vulneráveis da GINA nem dados de versão corrigida.
Status de exploração
A CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise. O registro EPSS mostra probabilidade de 0,0053 e percentil de 0,43251, conforme registrado.
Correção e mitigação
- Revise as notas de versão do SEPPmail 15.0 e planeje a atualização para a versão 15.0.4 ou superior.
- Até a atualização, restrinja o acesso de rede às interfaces web do gateway a redes administrativas confiáveis.
- Quando operacionalmente viável, coloque a interface GINA atrás de controles de acesso adicionais, como um proxy reverso autenticado separado ou segmentação de rede.
Orientações de detecção
- Revise os logs de acesso web em busca de requisições a caminhos da interface GINA concluídas sem sessão autenticada, sobretudo de endereços desconhecidos.
- Monitore alterações inesperadas de configuração, novas contas ou novos artefatos administrativos no gateway.
- Correlacione os logs do gateway com eventos de autenticação para identificar acesso sem sessão a funções que normalmente exigem login.
Limitações das informações disponíveis
O registro não identifica quais endpoints da GINA são afetados, não fornece intervalos de versão estruturados e não contém pontuação CVSS de fornecedor além da pontuação do CNA. O limite 15.0.4 vem da descrição. As notas de versão não foram verificadas em detalhe nesta análise, portanto o conteúdo exato da correção e eventuais soluções paliativas permanecem desconhecidos.
Perguntas frequentes
Qual é a vulnerabilidade da CVE-2026-44125?
O CNA relata falta de verificações de autorização em vários endpoints da nova GINA UI do SEPPmail Secure Email Gateway anterior à 15.0.4. O registro afirma que atacantes remotos não autenticados podem acessar funções que deveriam exigir uma sessão válida.
Qual é a gravidade?
O CNA atribuiu pontuação 9.3 pelo CVSS 4.0, classificada como crítica, com vetor de rede e sem exigência de privilégios ou interação do usuário.
Esta CVE é conhecida por ser explorada?
Ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise.
O que os administradores devem fazer agora?
Revisar as notas de versão do fornecedor, planejar a atualização para a 15.0.4 ou superior e restringir o acesso de rede às interfaces web do gateway até a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.