CVE-2026-35389: Falha na Verificação de Assinatura S/MIME em Bulwark Webmail

Esta falha permite que um atacante crie e envie e-mails maliciosos que aparentam ser legítimos. Ao assinar esses e-mails com um certificado autoassinado ou não confiável, o Bulwark Webmail exibirá a assinatura como válida, enganando o usuário a acreditar que a mensagem é autêntica e segura. Isso pode ser explorado para phishing, disseminação de malware ou outras atividades maliciosas, pois o usuário pode ser induzido a clicar em links ou baixar anexos perigosos, confiando na falsa indicação de assinatura válida. A confiança na comunicação por e-mail é fundamental, e esta vulnerabilidade a mina diretamente.

Organizations using self-hosted Bulwark Webmail instances, particularly those with limited security expertise or those who have not implemented robust email security practices, are at significant risk. Shared hosting environments where multiple users share a single Bulwark Webmail instance are also particularly vulnerable, as a compromise of one user's account could potentially expose all users.

• php: Examine Bulwark Webmail configuration files for settings related to S/MIME verification. Look for checkChain: false or similar configurations that disable certificate chain validation.

<?php
  // Example: Check for the presence of this setting in the configuration file
  $config_file = '/path/to/bulwark/config.php';
  $content = file_get_contents($config_file);
  if (strpos($content, 'checkChain: false') !== false) {
    echo 'Potential vulnerability detected!';
  }
?>

1. 2026-04-06Disclosure

   disclosure

1. Reservado2026-04-02
2. Publicada2026-04-06
3. Modificada2026-04-07
4. EPSS atualizado2026-04-14

A correção primária para esta vulnerabilidade é atualizar o Bulwark Webmail para a versão 1.4.11 ou superior. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias. Embora não eliminem completamente o risco, podem reduzir a superfície de ataque. Implemente regras de firewall para restringir o acesso ao Bulwark Webmail apenas a fontes confiáveis. Monitore logs do servidor em busca de atividades suspeitas, como e-mails com assinaturas S/MIME de certificados desconhecidos. Após a atualização, verifique a configuração do servidor de e-mail para garantir que a validação da cadeia de certificados esteja habilitada e configurada corretamente.