Stormshield SNS : signature de firmware contournable (CVE-2026-111090)
Le CERT-FR signale sur Stormshield Network Security une vérification de signature défaillante qui accepte firmware et mises à jour non authentifiés, plus un XSS DOM. Correctifs disponibles.
Le CERT-FR a publié CERTFR-2026-AVI-1339 le 19 octobre pour plusieurs vulnérabilités dans Stormshield Network Security (SNS). La plus sérieuse, CVE-2026-111090, est une erreur de vérification de signature qui fait accepter par le pare-feu des fichiers de mise à jour non authentifiés. Si vous opérez du SNS, montez en 5.0.10, 5.1.4 EA ou 4.8.20 LTSB.
Les avis éditeur sont la source primaire : STORM-2026-031, STORM-2026-032 et STORM-2026-022. Un quatrième avis, STORM-2026-030, reste sous embargo (sévérité « high »).
Les vulnérabilités
Vérification de signature du firmware (STORM-2026-031, CVE-2026-111090). « A logic error in the signature verification routine resulting in acceptance of unauthenticated update and license files » : une erreur logique dans la routine de vérification de signature fait accepter des fichiers de mise à jour et de licence non authentifiés. Score CVSS v3.1 de base 7.8 (vecteur AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H), confidentialité/intégrité/disponibilité toutes en « High ».
Vérification de signature de l'Active Update (STORM-2026-032). Même famille : « acceptance of unauthenticated dynamic data update during Autoupdate routine » — acceptation de mises à jour de données dynamiques non authentifiées pendant la routine Autoupdate. Base CVSS v3.1 7.5 (AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H). Pas de CVE publié sur l'avis.
XSS DOM dans le portail d'administration (STORM-2026-022). Exécution d'un XSS basé sur le DOM contre le panneau d'administration web : l'attaquant forge une URL avec un script malveillant dans un paramètre et piège un administrateur authentifié. Base CVSS 6.6, pas de CVE.
Versions concernées et correctifs
| Branche | Concernée | Corrigée |
|---|---|---|
| 5.1.x | 5.1.0 à 5.1.3 | 5.1.4 EA |
| 5.0.x | 5.0.0 à 5.0.9 | 5.0.10 |
| 4.8.x | 4.8.0 à 4.8.19 | 4.8.20 LTSB |
| 4.3.x | 4.3.0 à 4.3.44 | aucun correctif |
La branche 4.3.x ne reçoit pas de correctif pour les failles de signature (031/032) : les appliances encore en 4.3 doivent migrer.
Statut d'exploitation
Aucune exploitation dans la nature n'est mentionnée par les avis. Les failles de signature exigent que l'attaquant fasse accepter un fichier forgé à l'appliance — d'où les contre-mesures ci-dessous, qui réduisent la surface même avant correctif.
Que faire
- Montez les appliances en 5.0.10 / 5.1.4 EA / 4.8.20 LTSB ; planifiez la migration de tout SNS en 4.3.x, non corrigé.
- Atténuation éditeur (031/032) : n'utilisez que les serveurs MyStormshield / miroirs SMC en HTTPS pour les mises à jour et licences, ou la vérification automatique via SNS.
- Si vous hébergez des serveurs de mise à jour personnalisés, vérifiez le hash SHA-256 de chaque fichier contre les empreintes de référence du portail MyStormshield.
- Pour le XSS (022), appliquez le correctif et sensibilisez les administrateurs aux URL d'administration reçues par un canal tiers.
Contexte
Un pare-feu qui accepte un firmware non signé, c'est la porte d'entrée qui vérifie mal les badges : la position de l'équipement en bordure de réseau transforme une erreur de signature en vecteur d'implant persistant. Les équipements de sécurité périmétrique restent une cible de choix — raison de plus pour traiter ces correctifs comme une priorité, pas comme une mise à jour de routine.