Kurzfassung

Mailu schließt mit CVE-2026-85751 eine kritische Schwachstelle, über die sich ein nicht angemeldeter Angreifer aus dem Netzwerk als vertrauenswürdiger Proxy ausgeben und so die Authentifizierung umgehen konnte. Betroffen sind Mailu-Installationen ab Version 2.0 bis einschließlich 2024.06.54 sowie Mailu-Helm-Charts vor 2.7.3, wenn eine bestimmte Proxy-Konfiguration aktiv ist. Der CVSS-Basiswert liegt bei 9.8 und damit im kritischen Bereich.

Was ist passiert?

Die Schwachstelle steckt in bestimmten Mailu-Bereitstellungen, die headerbasierte Proxy-Authentifizierung verwenden. Konkret betrifft das Umgebungen, in denen PROXY_AUTH_WHITELIST gesetzt ist, REAL_IP_HEADER aber nicht konfiguriert wurde.

In dieser Konstellation vertraute Mailu einem vom Client selbst gesetzten HTTP-Header. Ein externer Angreifer konnte dadurch die Identität eines freigegebenen Proxy-Systems vortäuschen. Das Ergebnis: Der Schutzmechanismus für die Anmeldung ließ sich umgehen.

Behoben ist das Problem laut NVD in Mailu 2024.06.55 sowie in Mailu-Helm-Charts 2.7.3.

Technische Details

Auslöser ist das Zusammenspiel aus Proxy-Whitelist und der Verarbeitung eingehender Header in der nginx-Konfiguration. Ein eingehender X-Forwarded-By-Header wurde in der betroffenen Konfiguration nicht zuverlässig durch eine vertrauenswürdige Information ersetzt, sondern konnte vom anfragenden Client selbst vorgegeben werden.

Dadurch war es möglich, eine vertrauenswürdige Proxy-Herkunft vorzutäuschen. Wenn Mailu in dieser Betriebsart Proxy-Header zur Authentifizierung heranzieht, führt das direkt zu einem Authentifizierungs-Bypass.

Der CVSS-Wert liegt bei 9.8 nach CVSS 3.1 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Das bedeutet: Der Angriff ist über das Netzwerk möglich, erfordert keine Anmeldung und keine Nutzerinteraktion und ist mit geringer Komplexität durchführbar. Der Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bereits laufende Ausnutzung in freier Wildbahn.

Wer ist betroffen?

Betroffen sind Unternehmen und Betreiber, die Mailu als containerisierten Mailserver einsetzen. Relevant ist die Lücke nur dann, wenn die verwundbare Konfiguration tatsächlich aktiv ist: PROXY_AUTH_WHITELIST ist gesetzt, REAL_IP_HEADER hingegen nicht.

Nach den vorliegenden Angaben sind Mailu-Versionen ab 2.0 bis einschließlich 2024.06.54 betroffen. Bei Kubernetes-Umgebungen gilt das für Mailu-Helm-Charts vor Version 2.7.3.

Für viele klassische Mailserver-Installationen im DACH-Raum ist das kein Massenproblem, weil Mailu vor allem in selbst betriebenen Container- und Kubernetes-Setups vorkommt. Für Organisationen, die Mailu produktiv für E-Mail-Dienste einsetzen, ist die Lücke aber hoch relevant, weil sie unmittelbar den Zugangsschutz trifft.

Empfohlene Maßnahmen

Priorität 1: Prüfen Sie sofort, ob Mailu im Einsatz ist und welche Version betrieben wird. Besonders wichtig sind alle Docker- und Kubernetes-Deployments mit Reverse-Proxy- oder Load-Balancer-Anbindung.

Priorität 2: Kontrollieren Sie die Konfiguration gezielt auf die Kombination aus gesetztem PROXY_AUTH_WHITELIST und fehlendem REAL_IP_HEADER. Wenn diese Konstellation vorliegt, behandeln Sie das System als akut exponiert.

Priorität 3: Aktualisieren Sie auf Mailu 2024.06.55 oder neuer beziehungsweise auf Mailu-Helm-Charts 2.7.3 oder neuer. Ohne Update bleibt die Umgehung der Anmeldung grundsätzlich möglich.

Priorität 4: Falls ein sofortiges Update betrieblich nicht möglich ist, deaktivieren Sie die betroffene Proxy-Authentifizierungs-Konfiguration oder beschränken Sie den Zugriff strikt auf vorgeschaltete, vertrauenswürdige Systeme. Das ist nur eine Übergangslösung und ersetzt keinen Patch.

Priorität 5: Prüfen Sie rückwirkend Protokolle auf verdächtige Zugriffe, insbesondere auf ungewöhnliche Header-Nutzung, anomale Anmeldungsabläufe und Zugriffe auf Verwaltungs- oder Webmail-Komponenten ohne reguläre Authentifizierung.

Einschätzung von CyberSecurity-News.de

Die technische Tragweite ist hoch, weil hier kein exotischer Speicherfehler vorliegt, sondern ein Konfigurations- und Vertrauensproblem an einer sicherheitskritischen Grenze: der Anmeldung. Solche Fehler sind in der Praxis gefährlich, weil sie sich mit vergleichsweise wenig Aufwand ausnutzen lassen, wenn die betroffene Betriebsart aktiv ist.

Die Informationslage ist insgesamt brauchbar, aber mit einer wichtigen Einschränkung: Entscheidend ist nicht allein die Versionsnummer, sondern die konkrete Mailu-Konfiguration. Wer Mailu nutzt, sollte deshalb nicht nur patchen, sondern die Proxy- und Header-Verarbeitung bewusst überprüfen. NVD nennt den CVSS-Wert, aber keine Hinweise auf aktive Ausnutzung.

Für die allgemeine Unternehmens-IT ist das keine flächendeckende Notlage. Für Administratoren von Mailu-Instanzen hat das Thema dagegen klare Priorität, weil ein erfolgreicher Angriff direkt den Zugriffsschutz des Mailsystems unterläuft.

Fazit

Wenn Sie Mailu betreiben, prüfen Sie jetzt die Konfiguration und spielen Sie das Update auf 2024.06.55 beziehungsweise auf Helm-Charts 2.7.3 ein. Besonders kritisch sind Installationen mit Proxy-Whitelist ohne korrekt gesetzten Header für die echte Client-IP. Ohne Gegenmaßnahme riskieren Betreiber einen extern ausnutzbaren Authentifizierungs-Bypass.

Quellenangabe

Weiterführende Informationen: NVD-Eintrag zu CVE-2026-85751