SEPPmail 15.0.7, 15.1.0 et 15.1.0.1 : correctifs CVE et nouvelle branche fonctionnelle

SEPPmail a publié la version corrective 15.0.7 le 2 septembre 2026, la version fonctionnelle 15.1.0 le 28 septembre 2026 et le correctif 15.1.0.1 le 29 septembre 2026. La version corrective comble plusieurs vulnérabilités avec des scores CVSS compris entre 7.7 et 8.6, met à jour OpenSSL et constitue, selon le fabricant, la dernière version de la branche 15.0, tout en permettant la mise à jour vers 15.1. La version 15.1.0 apporte de nouvelles fonctions pour l’administration, la surveillance, l’API REST et le webmail, ainsi que deux autres correctifs de sécurité, dont l’un avec un CVSS de 9.9. Ces versions s’adressent à tous les exploitants d’appliances SEPPmail, y compris aux appliances utilisées comme passerelles de messagerie HIN, car elles reposent sur le firmware SEPPmail. L’état précédent est décrit dans l’article sur SEPPmail 15.0.6 et 15.0.6.1.

Vue d’ensemble des versions

Correctifs de sécurité dans la version 15.0.7

L’historique des révisions mentionne trois entrées de sécurité pour la version 15.0.7. Deux d’entre elles sont publiées comme CVE depuis le 3 septembre 2026 ; le CNA est le NCSC et elles ont été découvertes par Oualid Lkhaouni (Emposo GmbH).

• CVE-2026-84830, CVSS 8.6 (v4.0) : injection de commandes (CWE-78) dans le traitement de configuration privilégié. Des administrateurs authentifiés pouvaient exécuter des commandes avec des privilèges élevés. Toutes les versions antérieures à 15.0.7 sont concernées.
• CVE-2026-84831, CVSS 7.7 (v4.0) : contournement de la MFA obligatoire avant l’enregistrement (CWE-287, CWE-306). L’appliance créait une session disposant de tous les privilèges avant la fin de l’enregistrement MFA requis. Toute personne connaissant le mot de passe d’un compte soumis à la MFA mais pas encore enregistré pouvait utiliser des fonctions protégées sans second facteur. Les versions antérieures à 15.0.7 sont concernées.
• CVE-2026-84832, CVSS 8.6 (v4.0) : désérialisation non sécurisée dans un processus d’importation REST privilégié (CWE-502). Un attaquant disposant d’un jeton API privilégié pouvait exécuter des commandes arbitraires avec les droits de l’utilisateur « nobody ». L’entrée figure dans la section 15.0.7, mais les notes de version et l’entrée CVE indiquent que les versions antérieures à 15.0.6 sont concernées. Selon ces informations, les systèmes sous 15.0.6 ou 15.0.6.1 sont déjà protégés.

Dans les entrées CVE, l’évaluation CISA-ADP indique pour les trois vulnérabilités « Exploitation: none » (état au 8 octobre 2026). Toutes trois nécessitent une authentification : un compte administrateur, le mot de passe connu d’un compte qui n’est pas encore enregistré pour la MFA, ou un jeton API privilégié. Outre la mise à jour, vérifiez donc quels comptes sont soumis à la MFA sans être encore enregistrés, ainsi que les jetons API émis et leurs droits.

Autres modifications dans la version 15.0.7

OpenSSL a été mis à jour vers la version 3.0.22. Les notes de version mentionnent les CVE-2026-63072, CVE-2026-63076, CVE-2026-54874, CVE-2026-63074 et CVE-2026-75803, ainsi qu’une vérification corrigée des balises d’authentification pour les textes chiffrés vides en mode CCM.

Les corrections de bogues concernent plusieurs domaines :

• Admin : Les utilisateurs locaux ne pouvaient pas être supprimés après la révocation d’un certificat, et les paramètres de fuseau horaire n’étaient pas correctement enregistrés, y compris dans Cfgserver.
• Clustering : connector.pl ne terminait pas les connexions d’injection initiales. Les avertissements SSH inutiles ne s’affichent plus lors de l’affichage de l’état du cluster.
• Tâches d’arrière-plan : Les processus encore en cours sont gérés de manière à ce qu’ils ne se chevauchent plus.
• RuleEngine : La gestion du répertoire temporaire a été corrigée, les messages LFT ne comportaient parfois pas de pièces jointes chiffrées et les contrôles de révocation ignorés sont mieux consignés.
• Webmail (GINA) : Les données mises en cache étaient validées par rapport à une valeur incorrecte et la gestion des sessions a été corrigée.

La correction des fuseaux horaires fait suite à la version 15.0.6, qui avait configuré l’appliance pour utiliser des fuseaux horaires valides (Europe/Zurich par défaut).

Correctifs de sécurité dans la version 15.1.0

La version 15.1.0 contient deux correctifs de sécurité, tous deux issus, selon les notes de version, d’un audit mené par Emposo. Dans l’historique des révisions, aucun identifiant CVE n’avait encore été attribué aux deux vulnérabilités au 26 octobre 2026 (« Pending »).

• Gestion de la CA racine via l’API REST, CVSS 9.9 : Vérification insuffisante des autorisations dans l’API de gestion cryptographique. Un jeton API sans droits MSP pouvait ajouter, modifier ou supprimer des certificats RootCA. L’accès au point de terminaison /crypto/rootca est désormais limité aux jetons MSP. L’historique des révisions indique que les versions inférieures à 15.0.6.1 sont concernées, mais répertorie la correction sous 15.1.0. Les sources ne permettent pas de déterminer clairement si les versions 15.0.6.1 et 15.0.7 sont déjà protégées (état au 26 octobre 2026).
• XSS stockée dans la visionneuse de journaux, CVSS 7.1 : Il était possible d’injecter du JavaScript dans l’interface d’administration au moyen d’un Message-ID manipulé. Les données externes sont désormais échappées. Les versions antérieures à 15.1.0 sont concernées.

En outre, tous les appels qx(...) ont été remplacés par run_shell_safe, afin que les arguments soient échappés lors de l’appel du shell ; le fabricant le présente comme un travail de maintenance. Comme la vulnérabilité de la CA racine s’exploite via un jeton API, vous devriez vérifier les jetons API REST attribués et leurs droits jusqu’à l’installation de la version 15.1.0.1.

Nouvelles fonctions dans la version 15.1.0

• Administration : La croissance de la base de données LDAP est surveillée. Les administrateurs délégués ne voient désormais que les comptes de leur tenant. Un test de connexion est disponible pour les serveurs de clés externes.
• Notifications : L’appliance signale les sauvegardes d’e-mails ayant échoué, informe les partenaires de communication de l’expiration de certificats et avertit lorsque la mémoire LFM atteint sa limite de capacité.
• API REST : Les requêtes adressées à l’API REST peuvent être auditées.
• RuleEngine : Les messages reçoivent des métadonnées sur les actions exécutées et les commandes personnalisées peuvent se connecter à PostgreSQL.
• Webmail (GINA) : Les types de fichiers que les partenaires externes peuvent téléverser via GINA peuvent être limités.

La synchronisation LDAP pour les installations moyennes et grandes, le contrôle des révocations de certificats et l’affichage des notifications e-mail générées ont également été modifiés. OpenSSL est désormais en version 3.5.8 et OpenSSH (sshd) en version 10.4. Une définition d’API incomplète pour les informations de certificat a été corrigée.

Il est utile de configurer la restriction des téléversements dans GINA et l’audit de l’API REST après la mise à jour, en particulier lorsque des partenaires externes transmettent des fichiers via GINA ou que plusieurs systèmes accèdent à l’appliance par API.

Correctif 15.1.0.1

Le correctif du 29 septembre 2026 résout une erreur interne du serveur sur la page de modification d’un domaine GINA. Les notes de version ne mentionnent pas d’autres éléments.

Procédure recommandée

La version cible est 15.1.0.1. Selon l’historique des révisions, la version 15.0.7 permet la mise à jour vers 15.1 ; les systèmes sous 15.0.6.1 ou une version antérieure doivent donc d’abord être mis à jour vers 15.0.7, puis vers 15.1.0.1. Ceux qui restent provisoirement sur la branche 15.0 devraient au minimum installer la version 15.0.7, car elle corrige les CVE-2026-84830 et CVE-2026-84831 ; les correctifs Root-CA et XSS de la version 15.1.0 ne sont mentionnés dans les notes de version que pour 15.1. Avant chaque mise à jour, créez une sauvegarde et, pour les appliances virtuelles, un instantané supplémentaire, comme le recommande la documentation du fabricant. Les notes de version de ces versions ne contiennent aucune indication sur les problèmes connus, la fin du support de la branche 15.0 ou l’ordre de mise à jour dans le cluster (état au 26 octobre 2026).