SEPPMail : un path traversal pré-auth qui mène à la RCE

Le contexte

SEPPMail est une passerelle de messagerie sécurisée largement déployée pour le chiffrement d'e-mails et le DLP. Au moment du rapport, aucune exploitation n'est confirmée - mais la combinaison RCE non authentifiée plus surface périmétrique en fait une cible évidente.

La mécanique

La faille combine un path traversal (CWE-22) et un upload de fichier non restreint (CWE-434) dans le composant de transfert de gros fichiers de l'interface web utilisateur.

Un attaquant distant non authentifié peut déposer un fichier arbitraire à un emplacement arbitraire du serveur, puis déclencher son exécution pour obtenir une RCE avec les privilèges de l'application.

Remédiation

Mettre à niveau vers la version 15.0.3 ou supérieure (15.0.5 recommandée), même en l'absence de preuve d'exploitation. Une RCE pré-authentification sur un équipement exposé ne se traite pas en attente d'IoC.

Ce qu'il faut retenir

Pas de campagne connue ne veut pas dire pas de risque : une passerelle de messagerie est en bordure, et CVSS 9.8 pré-auth est exactement le profil que les acteurs scannent en priorité. À patcher de façon préventive avant que la fenêtre ne se referme contre vous.

• Kreomnis