5.5.20

Version publiée le 05/11/2026

Changelog veröffentlicht am 06.11.2026

Sicherheitspatches

Diese Version behebt Sicherheitslücken, darunter auch kritische Schwachstellen. Wir empfehlen, sie so bald wie möglich zu installieren.

Hinweis: Die Bewertungen werden nach CVSS 3.1 berechnet.

• Kritisch — 9,9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) (CVE-Beantragung läuft) – Behebung einer Path-Traversal-Sicherheitslücke, die es einem authentifizierten Benutzer ermöglichte, beliebige Dateien auf dem Server zu schreiben. Quelle: Olivier Lasne, Synacktiv
• Kritisch — 9,9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) (CVE-Beantragung läuft) – Behebung einer Sicherheitslücke, die es einem authentifizierten Benutzer ermöglichte, über den Outlook-Konnektor (MAPI) Dateien vom Server auszulesen.
• Kritisch — 9,1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) (CVE-Beantragung läuft) – Behebung einer Sicherheitslücke, die es ermöglichte, Audit-Protokolle ohne Authentifizierung einzusehen, wodurch Sitzungsinformationen offengelegt werden konnten. Quelle: Olivier Lasne, Synacktiv
• Hoch — 8,6 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N) (CVE-Beantragung läuft) – Behebung einer Sicherheitslücke, die es ermöglichte, Dateien vom Server ohne Authentifizierung über den Thunderbird-Autokonfigurationsserver auszulesen.
• Hoch — 8,6 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L) (CVE-Beantragung läuft) – Behebung eines Zugriffsproblems: Ein Kalender kann nicht mehr ohne Authentifizierung veröffentlicht werden.
• Hoch — 8,6 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:L) (CVE-Beantragung läuft) – Behebung einer Zugriffskontrolllücke: Outlook-Daten (MAPI) eines Postfachs können ohne Authentifizierung nicht mehr geändert werden.
• Hoch — 8,5 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H) (CVE-Beantragung läuft) – Behebung einer Path-Traversal-Sicherheitslücke in einem internen Dienst der Dateifreigabe.
• Hoch — 8,3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H) (CVE-Nummer wird beantragt) – Behebung einer Pfadüberschreitungs-Sicherheitslücke in der Datensicherung, die es einem authentifizierten Benutzer ermöglichte, Dateien außerhalb des Sicherungsverzeichnisses zu schreiben.
• Hoch — 8,2 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H) (CVE-Beantragung läuft) – Behebung eines Zugriffsproblems: Die Ordnerhierarchie eines Benutzers kann ohne Authentifizierung nicht mehr geändert werden.
• Hoch — 8,2 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N) (CVE-Beantragung läuft) – Korrektur einer Zugriffskontrolle: Die Notizen eines Benutzers können ohne Authentifizierung nicht mehr gelesen oder bearbeitet werden.
• Hoch — 8,1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N) (CVE-Beantragung läuft) – Behebung einer reflektierten XSS-Sicherheitslücke auf einer Fehlerseite, die ohne Authentifizierung zugänglich ist. Quelle: Olivier Lasne, Synacktiv
• Hoch — 8,1 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N) (CVE-Beantragung läuft) – Ein gesperrter Benutzer kann sich nicht mehr authentifizieren, unabhängig von der verwendeten Methode (Passwort, API-Schlüssel oder zwischengespeichertes Token).
• Hoch — 8,1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N) (CVE-Beantragung läuft) – Behebung einer gespeicherten XSS-Sicherheitslücke bei der Anzeige einer zitierten Nachricht.
• Hoch — 8,1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N) (CVE-Nummer wird beantragt) – Behebung einer XSS-Sicherheitslücke beim Öffnen eines Links zum Verfassen einer Nachricht (mailto).
• Hoch — 8,1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N) (CVE-Beantragung läuft) – Behebung einer XSS-Sicherheitslücke: Ein über die Vorschau geöffneter Anhang kann keine Skripte mehr ausführen.
• Hoch — 8,1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N) (CVE-Nummer wird beantragt) – Behebung einer XSS-Sicherheitslücke durch einen bösartigen Link in einer Einladung.
• Hoch — 8,0 (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H) (CVE-Beantragung läuft) – Behebung einer Schwachstelle im Zusammenhang mit einer Pfadüberschreitung bei der Dateifreigabe, die es einem Domänenadministrator ermöglichte, auf Dateien auf dem Server zuzugreifen.
• Hoch — 7,4 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N) (CVE-Beantragung läuft) – Behebung einer SSRF-Sicherheitslücke: Der Server lädt Anhänge von Ereignissen nur noch von autorisierten Hosts herunter. Quelle: Olivier Lasne, Synacktiv
• Hoch — 7,3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N) (CVE-Beantragung läuft) – Behebung einer gespeicherten XSS-Sicherheitslücke in der Signatur einer Identität.
• Hoch — 7,2 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) (CVE-Beantragung läuft) – Der Installationsassistent kann keine anderen Konfigurationsdateien als seine eigene lesen oder ändern.
• Mittel — 6,8 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N) (CVE-Beantragung läuft) – Die offenen Sitzungen eines Benutzers werden geschlossen, sobald dieser gesperrt wird.
• Mittel — 6,8 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N) (CVE-Beantragung läuft) – Passwort-Hashes werden von der Benutzer-API nicht mehr zurückgegeben. Quelle: Olivier Lasne, Synacktiv
• Mittel — 5,8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N) (CVE-Beantragung läuft) – Behebung einer SSRF-Sicherheitslücke, die ohne Authentifizierung beim Verbindungstest zu externen Systemen ausnutzbar war.
• Mittel — 5,5 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H) (CVE-Beantragung läuft) – Behebung einer Path-Traversal-Sicherheitslücke bei der Sicherung des Adressbuchs, die es einem Domänenadministrator ermöglichte, Dateien außerhalb des Sicherungsverzeichnisses zu schreiben.
• Mittel — 5,4 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L) (CVE-Beantragung läuft) – Behebung einer Path-Traversal-Sicherheitslücke, die es einem authentifizierten Benutzer ermöglichte, Verzeichnisse auf dem Server anzulegen.
• Mittel — 5,3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – Die Liste der Adressbucheinträge ist ohne Authentifizierung nicht mehr zugänglich.
• Mittel — 5,3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – Die Einträge im Adressbuch (vCards) sind ohne Authentifizierung nicht mehr zugänglich.
• Mittel — 5,3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – Korrektur einer Zugriffskontrolle: Die Outlook-Daten (MAPI) eines Postfachs können nicht mehr ohne Authentifizierung gelesen werden.
• Mittel — 5,3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – Korrektur einer Zugriffskontrolle: Aufgaben und Zertifikate können nicht mehr ohne Authentifizierung eingesehen werden.
• Mittel — 5,3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – Korrektur einer Zugriffskontrolle: Ereignisse, für die ein Gegenvorschlag vorliegt, können nicht mehr ohne Authentifizierung eingesehen werden.
• Mittel — 5,3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – Bei der Abfrage der Verfügbarkeit wird der vom Anrufer angegebenen Identität nicht mehr vertraut.
• Mittel — 5,3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – E-Mail-Einstellungen (Abwesenheitsnachricht, Signatur, Kontingent) sind ohne Authentifizierung nicht mehr zugänglich.
• Mittel — 5,3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – Der Status und die Protokolle der Aufgaben sind ohne Authentifizierung nicht mehr einsehbar.
• Mittel — 5,3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – Die globalen Installationseinstellungen sind ohne Authentifizierung nicht mehr einsehbar.
• Mittel — 5,3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N) (CVE-Beantragung läuft) – Container können nicht mehr ohne Authentifizierung erstellt werden.
• Niedrig — 3,7 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – Informationen zu Organisationseinheiten und E-Mail-Workflow-Regeln sind ohne Authentifizierung nicht mehr einsehbar.
• Niedrig — 3,7 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N) (CVE-Beantragung läuft) – Weitere API-Funktionen sind ohne Authentifizierung nicht mehr zugänglich (Metadaten, Existenzprüfungen, Import von ICS-Dateien).

Danksagungen
Olivier Lasne, Synacktiv
Wir danken dem Unternehmen Synacktiv für seine Sicherheitsanalyse von BlueMind und für die koordinierte Offenlegung, die es gemeinsam mit uns durchgeführt hat. Mehrere der behobenen Sicherheitslücken, darunter auch kritische, stammen aus diesem Bericht.

Behebung von Sicherheitslücken

• BM-24458: [Hoch] Auf der Seite „Zugriff verweigert“ wird der Benutzername nicht mehr im Klartext angezeigt.

Upgrades

• Netty: 4.2.20
• Vertx: 5.2.3

BlueMind-Anwendungen

BlueMind Webmail (Mail App)

• BM-24459: Korrektur: Anhänge, die über die Vorschau geöffnet werden, können keine Skripte mehr ausführen.
• BM-24464: Behebt: Die Formatierungen einer zitierten E-Mail werden neu interpretiert und ragen über ihr Formatierungselement hinaus.
• BM-24475: Fehlerbehebung: Über einen Link mailto: kann im Editor kein aktiver HTML-Code mehr eingefügt werden.
• BM-24481: Behebt: Identitätssignaturen werden ohne vorherige Bereinigung im Identitätsblock angezeigt.

Kalender

• Korrektur: Die Berechtigung „Freigaben verwalten“ ist nun erforderlich, um einen Kalender mit einer privaten URL zu veröffentlichen und anschließend herunterzuladen oder die Veröffentlichungs-URLs aufzulisten und zu deaktivieren.
• Korrektur: Es ist nun die Leseberechtigung für einen Kalender erforderlich, um Termine mit einem ausstehenden Gegenvorschlag anzuzeigen.
• Korrektur: Der Status „verfügbar/beschäftigt“ per E-Mail verwendet nun die Berechtigungen des authentifizierten Anrufers und wird ohne Sitzung verweigert.
• Korrektur: Anhänge von Terminen können nun nur noch von einem Host heruntergeladen werden, der auf der Whitelist steht, oder von einer externen BlueMind-URL.

Webanwendungen (Webmail, Electron-Client, Verwaltungskonsole)

• BM-24463: Behebt: Links mit benutzerdefinierten Protokollen (javascript: oder andere) werden in Einladungs-URLs (Videokonferenz, URL-Feld) akzeptiert. Diese werden nun nicht mehr in E-Mails und im Kalender angezeigt.

MAPI / Outlook

• Korrektur: Die Liste der ISP-Zugriffsrechte für öffentliche Ordner wird nicht mehr bei jeder Outlook-Verbindung neu geschrieben.
• Korrektur: Die MAPI-APIs (Replica, Outlook-ISP) werden intern bereitgestellt und sind nicht mehr unter /api erreichbar.
• Behebt: Eine MAPI-Eigenschaft vom Typ stream:///… ermöglichte es, bm-mapi dazu zu bringen, eine beliebige Datei vom Server zu lesen. Nun werden nur noch Dateien aus dem MAPI-Spool-Verzeichnis gelesen.

Thunderbird

• Behebt: Der Thunderbird-Autokonfigurationsserver stellt nun ausschließlich die XML-Dateien .xpi aus seinem Erweiterungsverzeichnis bereit; bei anderen Dateien wird ein 404-Fehler zurückgegeben.

Videokonferenzen

• Behebt: Für den Zugriff auf einen BlueMind-Videokonferenzraum ist nun eine Sitzung erforderlich; Gäste können den Raum weiterhin mit ihrem Token betreten.

Verwaltung / Architektur

Authentifizierung

• BM-18009: Behebt: Die Sperrung eines Benutzers führte nicht zur Beendigung seiner Sitzungen, insbesondere wenn diese von einem Domänenadministrator vorgenommen wurde.
• BM-24010: Behebt: Der SMTP-Authentifizierungscache verwendete einen falschen Schlüssel, sodass sich ein deaktivierter Benutzer oder ein Benutzer, dessen Passwort geändert worden war, weiterhin authentifizieren konnte, bis der Cache vollständig geleert war.
• BM-24010: Behebt: Ein gesperrter Benutzer konnte sich weiterhin über SMTP/IMAP mit einem Verzeichnispasswort, einem API-Schlüssel oder einem zwischengespeicherten Sitzungstoken authentifizieren. Diese Anmeldedaten werden nun abgelehnt.

Adressbuch, Benutzer und Ressourcen

• Korrektur: Die Benutzer-API gibt nun keine Passwort-Hashes (einschließlich „admin0“) mehr an einen Domänenadministrator zurück, auch nicht bei der Suche nach einer externen Kennung.
• Korrektur: Zum Abrufen der Spracheinstellung eines Benutzers ist nun eine Sitzung erforderlich.
• Korrektur: Für den Zugriff auf die Informationen des Verzeichnisses (Name, E-Mail-Adressen, Telefonnummern, Anschriften) ist nun Lesezugriff auf das Domänenverzeichnis erforderlich. Fotos und Symbole bleiben ohne Authentifizierung zugänglich.
• Korrektur: Für den Zugriff auf die Liste der Änderungen im Verzeichnis ist nun Lesezugriff auf das Domänenverzeichnis erforderlich.
• Korrektur: Für den Zugriff auf die Liste der Untereinheiten einer Organisationseinheit ist nun Lesezugriff auf das Domänenverzeichnis erforderlich.
• Korrektur: Nur ein Benutzer mit der Rolle „Überprüfung und Reparatur“ (check&repair) kann die Reparatur eines Verzeichniseintrags in der Domäne dieses Eintrags starten. Die Administratoren der betreffenden Domäne und Einheit können dies weiterhin tun.
• Korrektur: Für die Rückgabe des Ereignisbeschreibungsmodells einer Ressource ist nun Lesezugriff auf die Ressourcen der Domäne erforderlich.
• Korrektur: Verzeichnis-Einträge, deren UIDs ein Pfadtrennzeichen enthalten (../), werden nun bei der Erstellung abgelehnt.

Audit-Log

• Korrektur: Die API für Abfragen des Audit-Protokolls wird intern bereitgestellt: Sie ist nicht mehr unter /api/logs über die öffentliche URL erreichbar.
• Korrektur: Für den Zugriff auf die Audit-Protokolle und die Verwaltung ihres Speicherplatzes ist nun die Rolle „Systemverwaltung“ erforderlich.

Container

• Behebt: Das Anlegen eines Hierarchieknotens für Container anhand der Kennung schlägt mit der Fehlermeldung „already exists“ fehl.
• Korrektur: Zum Erstellen von Containern ist nun eine Sitzung mit entsprechenden Berechtigungen erforderlich; ein Benutzer ohne Administratorrechte kann nur einen Container erstellen, dessen Eigentümer er ist.
• Behebt: Element-IDs konnten ohne Authentifizierung massenhaft reserviert werden, wodurch die Sequenz erschöpft wurde. Eine Sitzung ist erforderlich.
• Korrektur: Zum Reservieren von Objekt-IDs ist nun eine Sitzung mit Berechtigung erforderlich.
• Korrektur: UIDs von Containern, die ein Pfadtrennzeichen enthalten (../), werden nun bei der Erstellung abgelehnt.
• Korrektur: Zum Ändern der Containerhierarchie eines Benutzers ist nun Schreibberechtigung erforderlich.

Notizen, Aufgaben und S/MIME

• Korrektur: Zum Lesen oder Bearbeiten von Notizen sind nun Lese- oder Schreibrechte für den Notiz-Container erforderlich; ein Container, der keine Notiz ist, wird abgelehnt.
• Korrektur: Zum Lesen des Aufgaben-Containers ist nun das Leserecht erforderlich; ein Container, der keine Aufgabenliste ist, wird abgelehnt.
• Korrektur: Die API für S/MIME-Zertifikate von Zertifizierungsstellen macht andere Container nicht mehr ohne Authentifizierung zugänglich. Zudem erfordert das Auslesen eines Zertifikats anhand seiner Kennung Lesezugriff auf den MIME-Container, und die API lehnt jeden Container ab, bei dem es sich nicht um einen MIME-CA-Zertifikatscontainer handelt.
• Korrektur: Der Import einer ICS-Datei wird vor dem Start der Aufgabe abgelehnt, wenn der Aufrufende keine Schreibberechtigung für die Aufgabenliste besitzt.

Dateihosting (Filehosting)

• Korrektur: Sicherungsdateien, Dateien aus dem Datei-Hosting und Dateien aus der Aufgabenwarteschlange können nicht mehr außerhalb ihrer jeweiligen Verzeichnisse mittels einer verschlüsselten ../ gespeichert werden.

E-Mail (IMAP)

• Behebt: Der vollständige Name eines E-Mail-Ordners (z. B. INBOX/Legal/Divorce) war ohne Authentifizierung einsehbar. Die Berechtigung zum Anzeigen des Postfachs ist erforderlich.

E-Mail-Workflows und E-Mail-Tipps

• Korrektur: Die Rolle „Domänenadministrator“ ist nun erforderlich, um die Regeln für den E-Mail-Fluss einsehen zu können.
• Korrektur: Die „Mail-Tipps“ sind nun ausschließlich für Benutzer der Domäne und globale Administratoren reserviert; sie können ohne Authentifizierung nicht mehr eingesehen werden.

Sicherung und Wiederherstellung (DataProtect)

• Korrektur: Sicherungsdateien, Dateien aus dem Datei-Hosting und Dateien aus der Aufgabenwarteschlange können nicht mehr außerhalb ihrer jeweiligen Verzeichnisse mittels einer verschlüsselten ../ gespeichert werden.

System und Installation

• Korrektur: Für den Zugriff ist nun eine Authentifizierung erforderlich:
  • zu den Installationsmeldungen (Ablauf der Testphase oder des Abonnements, Warnung im Zustandsbericht)
  • benutzerdefinierte Eigenschaften und der Rollenkatalog (mit Angaben zu installierten Plugins und zum Abonnementstatus)
  • zur API für externe Systeme, einschließlich Verbindungstest
  • zum Domänenmodell, zum Status der Updates und zu den Bedingungen für die Verwendung von Let's Encrypt. Darüber hinaus ist die Rolle „Zertifikatsverwaltung“ für die Let's Encrypt-Bedingungen erforderlich.
  • zum Status, zum Ergebnis und zu den Protokollen der Aufgaben
• Korrektur: Für die globalen Einstellungen ist nun die Rolle „Systemverwaltung“ oder „Konfiguration“ erforderlich.
• Korrektur: Der Installationsassistent kann nun ausschließlich die Datei /etc/bm/bm.ini lesen oder schreiben.