CVE-2026-35389: S/MIME Signature Bypass in Bulwark Webmail

Een succesvolle exploitatie van deze kwetsbaarheid stelt een aanvaller in staat om valse e-mails te versturen die eruitzien alsof ze afkomstig zijn van een vertrouwde bron. Omdat de S/MIME signaturen niet correct worden geverifieerd, kan de ontvanger de e-mail als authentiek beschouwen, zelfs als deze is gemanipuleerd of afkomstig is van een kwaadwillende partij. Dit kan leiden tot phishing-aanvallen, het verspreiden van malware of andere vormen van fraude. De impact is vooral groot in omgevingen waar e-mail een cruciale rol speelt in de communicatie en besluitvorming.

Organizations using self-hosted Bulwark Webmail instances, particularly those with limited security expertise or those who have not implemented robust email security practices, are at significant risk. Shared hosting environments where multiple users share a single Bulwark Webmail instance are also particularly vulnerable, as a compromise of one user's account could potentially expose all users.

• php: Examine Bulwark Webmail configuration files for settings related to S/MIME verification. Look for checkChain: false or similar configurations that disable certificate chain validation.

<?php
  // Example: Check for the presence of this setting in the configuration file
  $config_file = '/path/to/bulwark/config.php';
  $content = file_get_contents($config_file);
  if (strpos($content, 'checkChain: false') !== false) {
    echo 'Potential vulnerability detected!';
  }
?>

1. 2026-04-06Disclosure

   disclosure

1. Gereserveerd2026-04-02
2. Gepubliceerd2026-04-06
3. Gewijzigd2026-04-07
4. EPSS bijgewerkt2026-04-14

De primaire mitigatie is het upgraden van Bulwark Webmail naar versie 1.4.11. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van extra beveiligingsmaatregelen, zoals het versterken van de e-mailfiltering en het trainen van gebruikers om verdachte e-mails te herkennen. Het is belangrijk om te benadrukken dat deze workarounds de kwetsbaarheid niet volledig elimineren, maar wel de risico's kunnen verminderen. Controleer na de upgrade of de S/MIME signaturen correct worden gevalideerd door een test e-mail met een zelfondertekend certificaat te verzenden en te controleren of deze als ongeldig wordt gemarkeerd.