BeyondTrust - CVE-2026-102764
Date de publication :
Il s’agit d’une vulnérabilité dans les composants internes de messagerie de BeyondTrust Remote Support.
Remote Support est une solution d’assistance et de prise en main à distance. Les équipes informatiques s’en servent pour dépanner des postes et des équipements à distance. Elle est proposée en appliance auto-hébergée et en SaaS. Une variante nommée Privileged Remote Access (PRA) partage une partie du code.
Ces composants ne valident pas correctement l’origine des messages reçus. Un attaquant distant et non authentifié peut envoyer des messages forgés à l’appliance. Dans certaines conditions, ces messages déclenchent des opérations sur les fichiers de l’appliance. Mandiant décrit un téléversement arbitraire de fichier. Dans l’intrusion observée, le fichier a servi à déposer le web shell SAWFLY et l’outil de tunnel BARECLAW. L’attaquant a ensuite atteint l’accès root par une action de post-exploitation. Il a lu le coffre de secrets de l’appliance et supprimé les journaux. L’éditeur retient les détails techniques de la faille.
Elle permet à un attaquant distant non authentifié d’écrire des fichiers sur l’appliance. Elle ouvre ainsi la voie à l’exécution de code et au vol des identifiants gérés par l’appliance.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Oui
Une mesure de contournement existe : Oui
Exécution de code arbitraire (à distance)
Exploitation
CWE-290 : Authentication Bypass by Spoofing
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Remote Support auto-hébergé versions 26.2.3 et antérieures
- Remote Support versions antérieures à 24.3.1 : concernées et non couvertes par le patch, ces versions sont induites comme non supportées
Contournement provisoire
• Limiter le trafic sortant de l’appliance aux seules destinations nécessaires
• Transférer les journaux de l’appliance vers un SIEM en temps quasi réel, car l’acteur supprime les journaux locaux
• En cas de compromission, faire une image de l’appliance avant reconstruction, puis renouveler tous les identifiants stockés, uniquement après patch ou reconstruction
Solutions ou recommandations
• Remote Support versions antérieures à 24.3.1 : mise à jour vers une version supportée plus récente avant d’appliquer le patch
• Remote Support SaaS : patch appliqué automatiquement par BeyondTrust le 08/10/2026 (certaines sources indiquent le 09/10/2026)