OpenSSH, GPUStack et FreeSWITCH ajoutés au catalogue KEV de la CISA : contournement de mot de passe et exécution de commandes activement exploités

L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté lundi 9 novembre 2026 quatre vulnérabilités déjà exploitées dans des attaques à son catalogue des vulnérabilités exploitées connues (KEV). Trois d’entre elles ouvrent l’accès à des serveurs sans mot de passe ou permettent l’exécution de commandes à distance : CVE-2026-123158 dans OpenSSH, d’OpenBSD, CVE-2026-102895 dans GPUStack et CVE-2026-116779 dans FreeSWITCH, de SignalWire. La quatrième, CVE-2026-123218 dans IBM Aspera Faspex, permet à un utilisateur disposant d’un compte de contourner les contrôles d’autorisation au moyen d’un message spécialement conçu et d’obtenir des privilèges élevés.

L’échéance de correction est fixée au jeudi 12 novembre, soit trois jours après l’inscription, et s’applique aux quatre entrées. Elle ne concerne que les agences civiles de l’exécutif fédéral (FCEB), en vertu de la directive BOD 26-04, qui demande une remédiation rapide des vulnérabilités des systèmes exposés à Internet lorsqu’elles peuvent donner à un attaquant le contrôle total, ainsi qu’une vérification de l’éventuelle compromission du système avant correction (tri forensique). Pour l’ensemble de ces entrées, le catalogue indique qu’on ignore si elles ont été utilisées dans des attaques par rançongiciel. La CISA exhorte toutes les organisations à traiter en priorité les entrées du catalogue KEV.

OpenSSH sur Linux basé sur musl

Pour OpenSSH, le catalogue évoque une valeur de retour inattendue qui permet de contourner l’authentification sous Linux. Les développeurs d’OpenSSH ont publié la version 10.6p2 le 5 novembre, avec un correctif de sécurité critique pour les systèmes Linux qui utilisent la bibliothèque libc musl et où sshd fonctionne sans prise en charge de PAM. La cause se situe en dehors de sshd, mais la faille est exploitée par son intermédiaire. Alpine Linux explique que, sans PAM, sshd vérifie les mots de passe avec la fonction crypt(). L’implémentation musl renvoie le caractère « * » comme indication d’erreur lorsque le mot de passe dépasse 256 octets, or ce même symbole est enregistré dans les comptes sans mot de passe, comme celui de root dans l’image de base d’Alpine ; la vérification réussit donc. L’attaquant envoie un mot de passe de 257 à 1 024 octets et se connecte dès la première tentative. Le paramètre PasswordAuthentication doit aussi être actif, ce qui est la valeur par défaut, et il doit exister un autre compte local dont le mot de passe haché est de type $5$ ou $6$. Les versions d’Alpine de la 3.16 à la 3.24, ainsi que la branche edge, sont concernées. Comme mesure d’atténuation, il est recommandé de mettre à jour et de redémarrer sshd ou, à titre temporaire, de configurer PasswordAuthentication no. Alpine ne considère pas comme vulnérables les systèmes dont PAM est activé (UsePAM yes) ou dont les comptes sont verrouillés. Au moment de la publication de l’annonce d’Alpine, aucun numéro CVE n’avait été attribué ; le numéro CVE-2026-123158 provient du catalogue KEV.

GPUStack et FreeSWITCH

GPUStack, plateforme open source de gestion de grappes de GPU, présente le problème le plus complexe. L’avis de sécurité du projet (score de 9,8 sur 10) explique que toutes les versions antérieures à la 2.2.0, lorsque le paramètre force_auth_localhost est désactivé, comme il l’est par défaut, traitent toute requête semblant provenir de la machine elle-même (boucle locale) comme une requête de l’administrateur intégré. Pour qu’une requête externe paraisse locale, il suffit d’un proxy inverse sur la même machine ou de l’en-tête falsifié X-GPUStack-Real-IP: 127.0.0.1. L’attaquant peut ainsi modifier les utilisateurs et les modèles, créer des clés API d’administrateur permanentes, lire les identifiants des nœuds de calcul et les secrets des fournisseurs de cloud et, via le point d’accès POST /v2/inference-backends/from-yaml, exécuter du code sur les nœuds. L’avis signale une exploitation sur une installation en version 2.1.1, où des attaquants ont créé des backends personnalisés ouvrant des shells inversés. Le correctif est la version 2.2.0 ou, temporairement, la définition de force_auth_localhost=true et la suppression de l’en-tête en périphérie du réseau.

Dans FreeSWITCH, le logiciel open source de téléphonie VoIP de SignalWire, un seul message SIP MESSAGE suffit pour exécuter une commande sur le serveur. La fonction qui traite les messages entrants découpe le nom du destinataire au niveau du symbole « + » et transmet le message au « protocole de chat » correspondant. Le protocole « api » transmet le contenu au mécanisme d’exécution de commandes de l’API de FreeSWITCH. Les versions jusqu’à la 1.11.2 incluse sont concernées avec la configuration par défaut, et le problème est classé critique (9,8). L’avis, publié le 28 octobre, indique qu’une exploitation a déjà été observée en pratique et décrit les conséquences comme une exécution de commandes du système d’exploitation avec les privilèges du processus FreeSWITCH, la divulgation de configurations et d’identifiants, et le contrôle total des appels. La version 1.11.3 ferme cette voie par défaut grâce au nouveau paramètre enable-chat-api-proto. Ceux qui ne peuvent pas mettre à jour peuvent définir enable-chat=false dans les profils qui n’ont pas besoin de messages de chat.

Ces nouvelles entrées arrivent quelques jours après les vulnérabilités d’Apple et de SonicWall et la paire de failles d’Ivanti Connect Secure que la CISA a ajoutées au catalogue. Pour les administrateurs, la marche à suivre découlant de la directive BOD 26-04 et des recommandations KEV est claire : identifier les systèmes exposés à Internet, les mettre à jour et, lorsque ce n’est pas possible, appliquer les mesures temporaires des éditeurs ou cesser d’utiliser le produit.