⚙️ Analyse technique

📨 Étape 1 — Envoi d'un e-mail malveillant

L'attaquant envoie un e-mail avec une pièce jointe spécialement conçue.

🧩 Étape 2 — Contournement du nettoyage du nom de fichier

FreeScout tente de bloquer les fichiers dangereux comme .htaccess, mais l'attaquant :

• Ajoute en préfixe un caractère Unicode de largeur nulle
• Contourne la validation du nom de fichier
• Le fichier est enregistré comme un fichier serveur exécutable valide

💣 Étape 3 — Exécution à distance

L'attaquant accède au fichier téléversé via le chemin web et exécute des commandes arbitraires.

Résultat :

✅ Si l'opération réussit, voici EXACTEMENT ce que vous verrez (étape par étape) :

1. Dans votre terminal (juste après avoir exécuté le script)

Vous verrez également les instructions pour les prochaines étapes imprimées.

2. Lorsque vous exécutez la commande find sur votre serveur FreeScout via SSH

Elle retournera immédiatement le chemin réel complet du fichier téléversé, par exemple :

(ou un dossier similaire date/heure — cela confirme que FreeScout a enregistré la pièce jointe automatiquement).

3. La VRAIE preuve de succès — dans votre navigateur (c'est le moment où vous savez que vous avez une RCE complète)

Copiez le chemin de l'étape 2 et ouvrez cette URL :

Vous verrez cette sortie exacte (texte brut) :

(Ou quel que soit l'utilisateur Apache/PHP sur votre serveur — généralement www-data, apache, ou nobody).

Maintenant changez la commande et actualisez :

Vous verrez :

Et pour ls -la :

Cette sortie apparaît directement dans la page du navigateur (dans des balises <pre> du webshell). Pas d'erreur, pas de code source PHP, pas de 404.

Cela signifie que vous avez une exécution de code à distance complète sur le serveur — le contournement .htaccess + espace de largeur nulle a parfaitement fonctionné, et la pièce jointe a été traitée sans aucune interaction utilisateur.

🎯 Pourquoi c'est dangereux

• ⚡ Exploitation zero-click
• 🌐 Surface d'attaque à distance (e-mail)
• 🔓 Aucune authentification requise
• 🧨 Capacité RCE complète
• 📂 Exfiltration de données potentielle
• 🔁 Mouvement latéral dans les réseaux internes

📦 Versions concernées

Toutes les versions de FreeScout :

✅ Version corrigée

Mettez à jour immédiatement vers :

🛡️ Mesures d'atténuation

1️⃣ Action immédiate

• Mettez à jour FreeScout vers la dernière version

2️⃣ Renforcer le serveur web

• Désactivez AllowOverride All dans la configuration Apache
• Restreindre l'exécution dans les répertoires de pièces jointes

3️⃣ Surveiller les journaux

Recherchez :

• Fichiers .htaccess suspects
• Téléversements de pièces jointes inhabituels
• Tentatives d'accès direct à /storage/attachments/

🔍 Conseils de détection

Les indicateurs de compromission peuvent inclure :

• Fichiers .htaccess inconnus dans les dossiers de pièces jointes
• Pics de trafic sortant
• Le serveur web générant des processus shell
• Requêtes POST/GET suspectes vers les chemins de pièces jointes

🧪 Preuve de concept (Conceptuelle)

📌 Vulnérabilité connexe

Ce problème a contourné les protections ajoutées dans :

• CVE-2026-27636

Démontrant une logique de nettoyage de noms de fichiers incomplète.

📊 Évaluation de l'impact

🧩 Leçons apprises

• La gestion Unicode doit être normalisée avant validation
• Ne jamais se fier uniquement au filtrage des noms de fichiers
• Les répertoires de pièces jointes ne devraient jamais permettre l'exécution de code
• Les vecteurs zero-click sont des surfaces d'attaque à haut risque

📚 Références

• Avis de sécurité FreeScout
• Entrée NVD pour CVE-2026-28289