SmarterMail auth bypass flaw now exploited to hijack admin accounts
Mis à jour :
Exploitation d’une faille SmarterMail pour le détournement de comptes administrateurs
Une vulnérabilité critique dans le logiciel de serveur de messagerie et de collaboration SmarterMail permettrait le contournement de l’authentification pour réinitialiser les mots de passe des administrateurs. Cette faille, découverte par des chercheurs de watchTowr, est activement exploitée par des acteurs malveillants depuis que SmarterTools a publié un correctif.
L’exploitation repose sur un point d’API force-reset-password qui, bien qu’exposé sans authentification, permet à un attaquant de définir un nouveau mot de passe pour un compte administrateur en fournissant un identifiant d’utilisateur et en forçant la réinitialisation. L’absence de contrôles de sécurité, notamment une vérification du mot de passe actuel, rend cette attaque possible.
Les conséquences de l’exploitation de cette faille sont graves, car elles octroient aux attaquants un accès complet au système, leur permettant d’exécuter des commandes du système d’exploitation et d’obtenir une exécution de code à distance.
Points clés :
- Une faille d’authentification bypass dans SmarterMail permet de réinitialiser les mots de passe des administrateurs.
- Cette vulnérabilité est activement exploitée en dehors des environnements de test.
- L’exploitation aboutit à une prise de contrôle totale des comptes administrateurs, ouvrant la voie à l’exécution de code à distance.
- La faille a été découverte par watchTowr, et un correctif a été publié par SmarterTools.
Vulnérabilités :
- Type : Contournement d’authentification (Authentication Bypass)
- API affectée :
force-reset-password - Impact : Réinitialisation du mot de passe administrateur sans authentification, menant à une prise de contrôle de compte et une exécution de code à distance.
- CVE : Aucune identification CVE n’a été attribuée à cette faille spécifique, bien qu’elle ait été découverte suite à une autre vulnérabilité critique pré-authentification (CVE-2025-52691) dans SmarterMail.
Recommandations :
- Mettre à jour SmarterMail vers la dernière version, Build 9511, publiée le 15 janvier, qui corrige cette vulnérabilité.