SEPPMail : un path traversal pré-auth qui mène à la RCE

Le contexte

SEPPMail est une passerelle de messagerie sécurisée largement déployée pour le chiffrement d'e-mails et le DLP. Au moment du rapport, aucune exploitation n'est confirmée, mais la combinaison RCE non authentifiée plus surface périmétrique en fait une cible évidente.

La mécanique

La faille combine un path traversal (CWE-22) et un upload de fichier non restreint (CWE-434) dans le composant de transfert de gros fichiers de l'interface web utilisateur.

Un attaquant distant non authentifié peut déposer un fichier arbitraire à un emplacement arbitraire du serveur, puis déclencher son exécution pour obtenir une RCE avec les privilèges de l'application.

Remédiation

Mettre à niveau vers la version 15.0.3 ou supérieure (15.0.5 recommandée), même en l'absence de preuve d'exploitation. Une RCE pré-authentification sur un équipement exposé ne se traite pas en attente d'IoC.

Ce qu'il faut retenir

Pas de campagne connue ne veut pas dire pas de risque : une passerelle de messagerie est en bordure, et CVSS 9.8 pré-auth est exactement le profil que les acteurs scannent en priorité. À patcher de façon préventive avant que la fenêtre ne se referme contre vous.

• Kreomnis