CVE-2026-23760
SmarterTools SmarterMail
2026-01-26
SmarterTools SmarterMail contains an authentication bypass using an alternate path or channel vulnerability in the password reset API. The force-reset-password endpoint permits anonymous requests and fails to verify the existing password or a reset token when resetting system administrator accounts. This could allow an unauthenticated attacker to supply a target administrator username and a new password to reset the account, resulting in full administrative compromise of the SmarterMail instance.
Технический анализ и план устранения
Суть уязвимости
Уязвимость CVE-2026-23760 в SmarterTools SmarterMail представляет собой критический недостаток логики аутентификации (Authentication Bypass) в API сброса пароля.
Проблема кроется в обработке запросов к конечной точке (endpoint) force-reset-password. Данный узел принимает анонимные запросы и не производит должной валидации текущего пароля или наличия легитимного токена сброса при попытке изменения учетных данных системных администраторов.
В результате неаутентифицированный злоумышленник может отправить специально сформированный запрос, указав имя пользователя целевого администратора и новый пароль, что приведет к несанкционированному сбросу пароля и полному захвату контроля над сервером SmarterMail.
Как исправить
- Установите официальное обновление безопасности от SmarterTools, в котором устранена данная уязвимость (обновите SmarterMail до последней стабильной версии).
- Проведите аудит журналов безопасности (Security Logs) и логов веб-сервера на наличие подозрительных POST-запросов к URI, содержащим
force-reset-password, за период до установки патча. - Принудительно сбросьте пароли для всех учетных записей системных администраторов после установки обновления, чтобы исключить риск использования уже скомпрометированных учетных данных.
- Проверьте настройки системы на предмет создания несанкционированных учетных записей администраторов или изменения конфигурации почтовых маршрутов.
Временные меры
- Ограничьте доступ к веб-интерфейсу администрирования и API SmarterMail на уровне сетевого экрана, разрешив подключения только с доверенных IP-адресов (например, из корпоративной сети или через VPN).
- Настройте Web Application Firewall (WAF) на блокировку любых внешних HTTP-запросов, обращающихся к пути
force-reset-password. - Если SmarterMail работает под управлением IIS, используйте модуль Request Filtering для немедленной блокировки уязвимого endpoint. Для этого выполните следующую команду в PowerShell от имени администратора:
Import-Module WebAdministration; Add-WebConfigurationProperty -pspath 'IIS:\' -filter "system.webServer/security/requestFiltering/denyUrlSequences" -name "." -value @{sequence='force-reset-password'}
- Перезапустите службу IIS для гарантированного применения новых правил фильтрации:
iisreset