Six vulnérabilités affectent CISA Malcolm : risques d’exécution de code arbitraire et d’interruption de service

Six failles dans la suite d’analyse du trafic

La CISA a signalé aujourd’hui, le 18 août 2026, six vulnérabilités affectant la suite CISA Malcolm, une plateforme utilisée pour analyser le trafic réseau. Les impacts vont du déni de service à l’exécution de code PHP arbitraire, en passant par l’accès non autorisé à des backends d’administration.

Les vulnérabilités concernent plusieurs versions du produit :

• CVE-2026-55676 : versions de Malcolm antérieures à la 26.06.1 ;
• CVE-2026-63133, CVE-2026-63134 et CVE-2026-63177 : versions de Malcolm antérieures à la 26.07.0 ;
• CVE-2026-19670 et CVE-2026-19671 : Malcolm 26.07.1 et versions antérieures.

Toutes les versions concernées sont classées known_affected. Le score CVSS global communiqué par la CISA est de 8.8, mais la gravité varie selon les vulnérabilités.

La source n’indique pas d’inclusion dans le catalogue CISA Known Exploited Vulnerabilities (KEV). Aucune date d’ajout ni échéance opérationnelle associée au catalogue n’est donc disponible.

Un téléversement peut permettre l’exécution de code PHP

La vulnérabilité la plus grave est CVE-2026-55676, avec un score CVSS 3.1 de 8.8. Elle affecte le backend PHP de FilePond, utilisé pour gérer les téléversements.

Le composant accepte les fichiers via le point de terminaison :

POST /server/php/submit.php

puis les enregistre dans un répertoire exposé par la même instance Nginx et php-fpm :

/var/www/upload/server/php/files

Par défaut, aucune extension autorisée n’est configurée. De plus, l’assainissement conserve l’extension .php. Un utilisateur authentifié disposant de privilèges limités peut donc téléverser un fichier PHP, puis l’appeler via :

GET /server/php/files/.php

Les règles Nginx transmettent les URL dont l’extension est .php à php-fpm, ce qui entraîne l’exécution du code avec les privilèges de l’utilisateur www-data.

Le problème est particulièrement important dans les configurations RBAC. Avant la version 26.06.1, le rôle granulaire ROLE_UPLOAD, conçu pour autoriser uniquement le téléversement de fichiers de capture, pouvait accéder au point de terminaison vulnérable. Un compte autorisé exclusivement à téléverser des fichiers pouvait ainsi exécuter du code arbitraire dans le conteneur file-upload.

Le vecteur CVSS indique un accès distant, une faible complexité et une authentification avec des privilèges limités :

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Le correctif est disponible dans la version 26.06.1.

Extraction non sécurisée : traversal et consommation illimitée de ressources

Trois vulnérabilités concernent le script safe-extract.py, utilisé pour traiter les archives téléversées sur la plateforme.

CVE-2026-63133 permet une attaque par épuisement des ressources. Dans les versions antérieures à la 26.07.0, le script n’imposait pas de limites suffisantes sur le nombre d’éléments, la profondeur des répertoires, le nombre total d’entrées ou la taille des données extraites.

Une archive de petite taille peut contenir un nombre considérable de fichiers et de répertoires. Lors de l’extraction, le conteneur filebeat peut créer un nombre illimité d’objets sur le système de fichiers, consommant les inodes ou les métadonnées. Le pipeline de traitement peut alors se bloquer, avec des effets potentiels sur les autres services partageant le même point de montage.

La vulnérabilité affiche un score CVSS 3.1 de 6.5 :

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Le correctif est disponible depuis la version 26.07.0.

CVE-2026-63134 concerne quant à elle une vulnérabilité de type directory traversal lors de l’extraction. Bien que Malcolm utilise les indicateurs de sécurité de libarchive, la création des répertoires s’effectue via un chemin construit avec :

os.makedirs(os.path.join(dest, entry.pathname))

Cette opération ne bloque pas correctement l’utilisation de séquences ../ ou de chemins absolus. Une archive spécialement conçue peut donc amener le conteneur filebeat à créer des répertoires en dehors de la zone prévue.

Le score CVSS 3.1 est de 5.4, avec un impact sur l’intégrité et la disponibilité. Cette faille est également corrigée dans la version 26.07.0.

La troisième vulnérabilité de ce groupe est CVE-2026-63177, un contournement des contrôles RBAC dû à une gestion incohérente des chemins entre Nginx et OpenResty Lua. Le contrôle Lua analyse la valeur brute de ngx.var.request_uri, tandis que Nginx sélectionne le backend à partir d’un chemin normalisé.

Un utilisateur authentifié disposant de faibles privilèges peut préfixer le chemin avec une séquence de traversal, par exemple :

/x/../upload/...

Nginx peut alors acheminer la requête vers le backend protégé, tandis que le contrôle Lua ne détecte pas la règle applicable. En l’absence de correspondance, l’accès est autorisé au lieu d’être refusé.

La faille affiche un score CVSS 3.1 de 7.1 et est corrigée dans la version 26.07.0.

L’encodage et les fichiers compressés contournent d’autres protections

CVE-2026-19670 affecte Malcolm 26.07.1 et les versions antérieures et exploite une différence entre le contrôle RBAC et le routage Nginx.

La couche Lua effectue la correspondance de motifs sur l’URI brute et encodée en pourcentage. Nginx, en revanche, décode et normalise le chemin avant de sélectionner le bloc location.

Un utilisateur authentifié disposant de faibles privilèges peut encoder certaines parties de l’URL, par exemple :

/%68tadmin.php

Nginx interprète alors la valeur comme un chemin d’administration, tandis que le contrôle RBAC ne reconnaît pas la restriction appliquée à l’URI encore encodée. Les points de terminaison exposés incluent notamment /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox et les chemins de téléversement.

Le score est de 5.4 selon CVSS 3.1. Aucune version corrective précise n’est indiquée pour cette vulnérabilité.

CVE-2026-19671 concerne enfin une bombe de décompression dans les fichiers compressés à flux unique. Les limites appliquées aux archives ZIP, TAR, RAR et 7z via libarchive ne s’appliquent pas de la même manière aux fichiers :

• .gz ;
• .bz2 ;
• .xz ;
• .lzma ;
• .lz.

Un utilisateur autorisé à téléverser des fichiers PCAP ou des journaux peut envoyer un fichier très petit mais fortement compressible. Lors du traitement, son contenu peut se décompresser sans limite effective et consommer l’espace du volume Docker partagé par OpenSearch, Logstash, Arkime et Zeek.

La plateforme peut alors devenir indisponible pour tous les utilisateurs. La faille affiche un score CVSS 3.1 de 6.5. Là encore, aucune version corrective précise n’est indiquée.

Mesures recommandées aux administrateurs

La priorité consiste à mettre Malcolm à niveau vers les versions correctives disponibles :

• 26.06.1 pour CVE-2026-55676 ;
• 26.07.0 pour CVE-2026-63133, CVE-2026-63134 et CVE-2026-63177.

Pour CVE-2026-19670 et CVE-2026-19671, les versions vulnérables incluent la 26.07.1, mais aucune version corrective n’est indiquée. Les administrateurs doivent donc vérifier les mises à jour disponibles et limiter temporairement l’accès aux points de terminaison concernés.

Il est recommandé de limiter autant que possible le nombre de comptes autorisés à téléverser des fichiers, de réexaminer les rôles RBAC et de surveiller les journaux relatifs aux téléversements, aux requêtes contenant des chemins encodés ou des séquences ../, ainsi qu’aux accès inhabituels aux points de terminaison d’administration.

La consommation d’espace disque, d’inodes et de métadonnées des volumes Docker doit également être surveillée, de même que les redémarrages ou les erreurs des conteneurs file-upload et filebeat. Aucun indicateur de compromission spécifique n’a été communiqué.

La CISA recommande d’éviter toute exposition directe sur Internet, de placer les systèmes derrière des pare-feu, d’isoler les réseaux de contrôle des réseaux d’entreprise et d’utiliser des VPN à jour pour l’accès distant. Ces mesures doivent être évaluées en fonction de l’impact opérationnel de l’installation.