SmarterTools SmarterMail: Remote Code Execution (RCE) (CVE-2025-52691)

Was ist betroffen, was ist zu tun

Erfolgreige Ausnutzung der Schwachstelle könnte es einem nicht authentifizierten Angreifer ermöglichen, beliebige Dateien auf jede Stelle des Mail-Servers hochzuladen und dadurch möglicherweise die Ausführung von Code aus der Ferne zu ermöglichen.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie smartermail auf Version 100.0.9413. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• SmarterTools SmarterMail eq SmarterMail versions Build 9406 and earlier..SmarterMail versions Build 9406 and earlier

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Bestand erfassen: Alle SmarterMail-Instanzen identifizieren und den Build prüfen (Web-Oberfläche → Settings/About bzw. Dateiversion der MailService.exe). Betroffen ist laut Kontext Build 100.0.9413. Jede Instanz mit diesem oder einem älteren Build gilt bis zum Beweis des Gegenteils als potenziell kompromittiert.
   • Patch einspielen: Auf den aktuellen SmarterMail-Build aktualisieren. Ein Patch ist beim Hersteller verfügbar — die korrigierte Build-Nummer bitte im SmarterTools-Advisory bzw. in den Release Notes nachschlagen. Vor dem Update einen Snapshot bzw. ein forensisches Abbild des Servers sichern, damit Spuren erhalten bleiben.
   • Exposition sofort reduzieren: Falls kein Sofort-Patch möglich ist, Webmail- und Admin-Oberfläche (HTTP/HTTPS, typischerweise TCP 80/443 bzw. ein individuell konfigurierter Web-Port) per Perimeter-Firewall auf VPN- oder Unternehmens-IP-Bereiche beschränken. Die SMTP-, IMAP- und POP3-Ports (25/587/465, 143/993, 110/995) bleiben erreichbar, da die Schwachstelle im Web-Upload-Pfad liegt.
   • Kompromittierungsprüfung: Installations- und Webverzeichnisse (z. B. unter C:\Program Files (x86)\SmarterTools\SmarterMail\) auf seit der Installation des Builds 9413 neu angelegte oder veränderte Dateien durchsuchen, insbesondere .aspx, .ashx, .asmx, .config, .dll, .exe, .ps1 und .bat. Fundstellen nicht löschen, sondern sichern und an das Incident-Response-Team übergeben.
   • Zugangsdaten rotieren: Bei jedem Verdacht auf Kompromittierung Folgendes rotieren: SmarterMail-Systemadministrator- und Domain-Admin-Konten, das Dienstkonto, unter dem SmarterMail läuft, sowie Active-Directory- und LDAP-Bind-Credentials und SMTP-Relay-Credentials, die auf dem Server hinterlegt sind.
   • Meldepflichten prüfen: Da die Schwachstelle von Ransomware-Akteuren genutzt wird, Meldeschwellen nach NIS2/BSIG (Frühwarnung innerhalb von 24 h) sowie DSGVO Art. 33 (Postfachinhalte sind personenbezogene Daten) frühzeitig bewerten.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Den Mailserver in eine DMZ-Zone ohne direkte Verbindungen ins interne Netz legen. Ausgehend nur SMTP (TCP 25) zu definierten Smarthosts sowie DNS erlauben. Ausgehendes HTTP/HTTPS, SMB (TCP 445) und RDP (TCP 3389) vom Mailserver blockieren, um Nachladen von Werkzeugen und Lateral Movement zu unterbinden.
   • WAF/Reverse-Proxy: Die Weboberfläche nur über einen Reverse Proxy mit WAF publizieren. Folgendes blockieren:
     • Multipart-Uploads, deren filename=-Parameter Pfadtraversierung enthält (../, ..\, %2e%2e, %5c) oder absolute Pfade (C:\).
     • Gefährliche Dateiendungen (.aspx|.ashx|.asmx|.config|.dll|.exe|.cshtml).
     • Upload-Requests ohne gültiges authentifiziertes Session-Cookie.
   • Endpoint-Härtung:
     • Per AppLocker bzw. WDAC die Ausführung von Binärdateien und Skripten aus SmarterMail-Daten- und Webverzeichnissen unterbinden.
     • Per ASR-Regel bzw. EDR-Policy blockieren, dass der SmarterMail-Prozess Kindprozesse startet (cmd.exe, powershell.exe, rundll32.exe).
   • Least Privilege: Den SmarterMail-Dienst nicht als LocalSystem betreiben, sondern unter einem dedizierten Dienstkonto. NTFS-Schreibrechte nur auf Daten- und Log-Verzeichnisse vergeben, nicht auf Programm- und Webroot-Verzeichnisse.
   • Integritätsüberwachung: File Integrity Monitoring (FIM) auf dem SmarterMail-Programmverzeichnis aktivieren und bei jeder Änderung außerhalb geplanter Update-Fenster alarmieren.
   • Backups: Offline- bzw. unveränderliche Sicherungen der Postfachdaten vorhalten und die Wiederherstellung testen, da die Schwachstelle bekanntermaßen in Ransomware-Kampagnen genutzt wird.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Sysmon EID 11 (FileCreate):
     • Auslöser: Der SmarterMail-Prozess (MailService.exe bzw. bei IIS-Betrieb w3wp.exe) erzeugt Dateien mit ausführbarer oder Web-Endung außerhalb der Postfach-Datenpfade.
     • KQL: DeviceFileEvents | where InitiatingProcessFileName in~ ("MailService.exe","w3wp.exe") | where FileName matches regex @"\.(aspx|ashx|asmx|dll|exe|ps1|bat|config)$"
   • Prozess-Abstammung (Sysmon EID 1 / EDR):
     • Auslöser: MailService.exe oder w3wp.exe startet cmd.exe, powershell.exe, certutil.exe, bitsadmin.exe oder whoami.exe.
     • Sigma-Form: ParentImage|endswith: '\MailService.exe' AND Image|endswith: ['\cmd.exe','\powershell.exe']
   • Webserver-Logs: POST-Requests auf Upload-Funktionen ohne vorangegangenen erfolgreichen Login derselben Quell-IP. Danach GET-Requests auf zuvor unbekannte .aspx- oder .ashx-Pfade (typisches Webshell-Muster). URL-kodierte Traversierungssequenzen in Request-Body oder Query.
   • Netzwerk-Telemetrie (Zeek/Suricata): Neue ausgehende Verbindungen des Mailservers zu externen IPs über HTTP/HTTPS oder ungewöhnliche Ports. Große ausgehende Datenvolumina deuten auf Exfiltration von Postfächern hin.
   • Windows-Ereignisse:
     • Event ID 4720/4732: neue lokale Konten bzw. Gruppenmitgliedschaften auf dem Mailserver.
     • Event ID 7045: neu installierte Dienste.
     • Event ID 4698: geplante Aufgaben, die kurz nach verdächtigen Uploads entstehen.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Erfolgreige Ausnutzung der Schwachstelle könnte es einem nicht authentifizierten Angreifer ermöglichen, beliebige Dateien auf jede Stelle des Mail-Servers hochzuladen und dadurch möglicherweise die Ausführung von Code aus der Ferne zu ermöglichen.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: CSA/SingCERT, NVD (NIST), cvelistv5, CISA KEV Catalog, CVE.org (MITRE), pwn.watch

Hersteller und Produkte

• SmarterTools SmarterTools SmarterMail

Weakness-Klassen (CWE)

• CWE-434Unrestricted Upload of File with Dangerous Type

  Base

  The product allows the upload or transfer of dangerous file types that are automatically processed within its environment.

  Eintrag bei MITRE CWE-434

Quellen & Referenzen

• CSA/SingCERTalerts-and-advisories/alerts/al-2025-124
• github.comwatchtowrlabs/watchTowr-vs-SmarterMail-CVE-2025-52691?ref=labs.…Exploit
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2025-52691government-resource
• pwn.watchpwn.watch: SmarterTools SmarterMail: SmarterTools SmarterMail Unrestricted Upload of File with Dangerous Type Vulnerabilitypwn-watch
• smartertools.comSmarterTools SmarterMail — CVE-2025-52691pwn-watch
• NVD (NIST)NVD: CVE-2025-52691pwn-watch
• NVD (NIST)NVD: CVE-2026-23760pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.