SEPPmail 15.1.1 : cinq correctifs CVE et correction de la régression DNS de 15.1.0.1

SEPPmail a publié la version corrective 15.1.1 le 27 octobre 2026. Elle corrige cinq vulnérabilités avec des scores CVSS compris entre 6.9 et 9.2, dont une possible exécution de code via des règles de remplacement d’adresses et la lecture ou la suppression de fichiers arbitraires via des pièces jointes Large File Transfer manipulées. S’y ajoutent un renforcement du traitement PGP, une correction de la résolution DNS devenue défaillante avec 15.1.0.1, ainsi que des modifications concernant MPKI, S/MIME, les sauvegardes et la virtualisation. Cette version s’adresse à tous les exploitants d’appliances SEPPmail, y compris aux appliances utilisées comme HIN Mailgateway, car elles reposent sur le firmware SEPPmail. L’état précédent est décrit dans l’article sur SEPPmail 15.0.7, 15.1.0 et 15.1.0.1.

Vue d’ensemble des versions

Correctifs de sécurité dans 15.1.1

L’historique des révisions répertorie cinq entrées avec un identifiant CVE. Il indique à chaque fois que les versions antérieures à 15.1.1 sont concernées ; il ne précise pas la version CVSS.

• CVE-2026-114424, CVSS 9.2 : Les valeurs de remplacement dans les règles de remplacement d’adresses étaient traitées de manière incorrecte. Lorsqu’un ensemble de règles utilise des valeurs du message comme valeurs de remplacement, un expéditeur distant pouvait exécuter des commandes sur l’appliance. L’évaluation a été renforcée.
• CVE-2026-114425, CVSS 9.2 : Des métadonnées de pièces jointes spécialement conçues dans des messages entrants pouvaient amener le traitement Large File Transfer (LFT) à lire ou supprimer des fichiers arbitraires. Les métadonnées sont désormais validées avant chaque accès aux fichiers.
• CVE-2026-114426, CVSS 8.7 : L’interface d’upload traitait les données de requête avant que l’authentification ne soit vérifiée. Des attaquants non authentifiés pouvaient ainsi épuiser l’espace de stockage et les processus workers. L’authentification est désormais effectuée en premier et la taille des uploads est en outre limitée.
• CVE-2026-114420, CVSS 8.3, et CVE-2026-114421, CVSS 6.9 : Un échappement insuffisant lors des recherches de comptes et une vérification manquante dans le processus de récupération de mot de passe permettaient la prise de contrôle de comptes GINA. Les valeurs de filtre LDAP sont désormais échappées et la récupération n’interroge plus que les utilisateurs enregistrés ayant configuré des questions de sécurité. L’historique des révisions décrit les deux CVE avec un texte et un correctif identiques, mais indique des scores CVSS différents.

Deux autres points concernent PGP, mais ne portent pas d’identifiant CVE : les clés dont les ID utilisateur ne sont pas auto-signés ne sont plus acceptées, et les messages PGP sans chiffrement effectif (chiffrement NULL) sont détectés et ne sont plus marqués comme chiffrés.

Au 3 novembre 2026, les cinq entrées CVE ne sont publiées ni sur CVE.org ni dans la NVD. Les vecteurs, l’attribution CWE et une évaluation de l’exploitation ne sont donc pas encore disponibles ; les scores CVSS proviennent de l’historique des révisions. Selon la description du fabricant, deux des vulnérabilités (CVE-2026-114424 et CVE-2026-114425) peuvent être déclenchées par des messages entrants, et CVE-2026-114426 sans authentification. Jusqu’à la mise à jour, vérifiez quelles règles de remplacement d’adresses reprennent des valeurs du message et si LFT ainsi que la récupération de mot de passe GINA sont actifs.

Pour les deux correctifs de sécurité de 15.1.0 (gestion de la Root CA via l’API REST avec CVSS 9.9 et XSS stockée dans le visualiseur de journaux avec CVSS 7.1), l’historique des révisions indique toujours « CVE-ID: Pending » (au 3 novembre 2026).

Nouvelles fonctions et modifications

• Virtualisation : L’appliance prend en charge QEMU Guest Agent (qemu-ga).
• Admin : Une nouvelle option système désactive la collecte des données Customer Summary, qui peut prendre longtemps sur les grandes installations selon le fabricant.
• Sauvegarde dans le cluster : Tous les membres du cluster créent une sauvegarde de la base de données, mais elle est envoyée uniquement depuis le nœud de maintenance. L’absence d’un opérateur de sauvegarde n’apparaît plus comme une erreur dans le rapport quotidien, car les grandes bases de données sont généralement sauvegardées via SCP.
• Core Dumps : La taille par défaut est limitée afin que les core dumps ne remplissent pas la partition /tmp.
• RuleEngine : Si le matériel de clé est absent lors de la signature ou du chiffrement, l’appliance le génère automatiquement (avec un utilisateur local si nécessaire), pour autant que les options correspondantes soient activées. Dans le cas contraire, le message n’est plus rejeté.
• S/MIME : Si la suppression automatique et la vérification quotidienne des révocations sont activées, les certificats révoqués sont également supprimés automatiquement.
• MPKI : Le connecteur D-Trust est conforme à la spécification de connecteur 2.28, la chaîne de Root CA GlobalSign a été mise à jour et les commandes SwissSignREST qui ne sont pas émises à temps restent en attente et sont finalisées ultérieurement afin d’éviter les doublons.
• Disclaimer : Les en-têtes Content-ID des images en ligne et des pièces jointes sont conformes à la RFC 2045.
• Outlook Add-In : La prise en charge de HIN ACS dans le COM Outlook Add-In a été supprimée, car HIN fournit son propre logiciel selon les notes de version.

Les exploitants d’un HIN Mailgateway dont les utilisateurs emploient HIN ACS via le COM Outlook Add-In devraient déterminer avant la mise à jour quel logiciel HIN prend en charge cette fonction. Si la suppression automatique des certificats est activée avec la vérification quotidienne des révocations, l’appliance supprimera également les certificats S/MIME révoqués après la mise à jour.

Corrections de bugs

• Système d’exploitation : Depuis 15.1.0.1, après la configuration d’une zone DNS locale avec le résolveur intégré, les noms DNS externes ne pouvaient plus être résolus.
• Admin : L’aperçu HTML des disclaimers ne fonctionnait plus depuis 15.0.6.1. Les fichiers de disclaimer et de modèle sont désormais écrits en UTF-8, ce qui évite désormais la corruption des caractères spéciaux. La page des paramètres de domaine géré se charge correctement après la création d’un domaine géré.
• Journalisation : La page de journalisation de la base de données se charge également lorsque des entrées comportent des données vides, les journaux de messagerie tournants sont de nouveau consultables et la reconstruction de l’index d’archivage des journaux de messagerie s’exécute sans erreur.
• API REST : PUT /v1/ssl renvoie le message d’erreur réel au lieu d’une erreur interne du serveur, et PUT /webmail/domain/{domainName} fonctionne lorsque l’option « Initial password via SMS » est activée.
• S/MIME : Le résultat de la vérification CRL remplace désormais le résultat OCSP, afin que les certificats révoqués soient marqués comme révoqués.
• RuleEngine : make_lft() fonctionne lorsqu’un LFT a plusieurs destinataires et que seule une partie d’entre eux est autorisée.
• Webmail (GINA) : Les accusés de lecture pour des messages envoyés à plusieurs destinataires sont adressés à tous les destinataires et non plus uniquement au premier.
• MPKI : Les paramètres du connecteur SwissSignREST sont chargés dans l’interface graphique d’administration.

Problèmes connus

• Résolution DNS avec une zone DNS locale (15.1.0.1) : corrigée dans 15.1.1.
• Aperçu HTML des disclaimers (depuis 15.0.6.1) : corrigé dans 15.1.1.
• Identifiants CVE pour les correctifs de sécurité de 15.1.0 : toujours en attente (« Pending », au 3 novembre 2026).

Les notes de version de 15.1.1 ne contiennent pas de section consacrée aux problèmes connus.

Procédure recommandée

La version cible est 15.1.1, car les cinq nouveaux CVE concernent les versions antérieures à 15.1.1 et que deux d’entre eux sont exploitables via des messages entrants. Selon l’historique des révisions, 15.0.7 permet la mise à jour vers 15.1 ; les systèmes de la branche 15.0 doivent donc être mis à jour d’abord vers 15.0.7, puis vers 15.1.1. Avant la mise à jour, créez une sauvegarde et, pour les appliances virtuelles, également un snapshot, comme le recommande la documentation du fabricant. Les notes de version ne contiennent aucune information sur l’ordre de mise à jour dans le cluster ni sur une version minimale pour 15.1.1 (au 3 novembre 2026).