Fetchmail : plusieurs failles de sécurité impactent Ubuntu LTS
Plusieurs failles de sécurité dans le client de messagerie Fetchmail sont devenues publiques récemment, ciblant spécifiquement les systèmes d’exploitation Ubuntu 16.04 LTS, 18.04 LTS et 20.04 LTS. L’annonce d’Ubuntu Security met en lumière des problèmes variés, allant du simple déni de service à des risques d’exécution de code arbitraire.
Christian Herdtweck a signalé un problème où Fetchmail gère mal certains messages de journalisation trop longs. Un attaquant à distance pourrait, en exploitant cette faiblesse (CVE-2021-36386), provoquer un crash du programme. Un autre défaut, concernant le traitement de certains codes de statut SMTP malformés, pourrait mener au même scénario de crash si l’attaquant contrôle le serveur de messagerie (CVE-2025-61962).
Le danger monte d’un cran avec une découverte faite par Tristan Madani. Il a identifié une vulnérabilité dans la gestion des défis d’authentification NTLM. Cette faille (CVE-2026-94184) permettrait à un attaquant lointain de provoquer un arrêt du service, mais surtout, elle pourrait potentiellement aboutir à l’exécution de code arbitraire. Cependant, les options de compilation par défaut des versions affectées devraient limiter ce risque au seul déni de service.
Les failles et leur gravité réelle
Il faut bien distinguer les scénarios. Si le problème de journalisation (CVE-2021-36386) est jugé de danger faible par les développeurs originaux de Fetchmail, les failles liées à l’authentification NTLM présentent une portée bien plus sérieuse, car elles impliquent un risque d’exécution de code à distance. Selon les données techniques, la vulnérabilité NTLM est classée avec un CVSS de 8,1 en cas de configuration adéquate, ce qui est significatif.
On note également que l’on parle de plusieurs problèmes distincts affectant les mêmes versions d’Ubuntu. Le défaut SMTP (CVE-2025-61962) est classé comme moyen (CVSS 5,9) et permet également un crash lors de l’authentification si le serveur renvoie un code de statut 334 dans un contexte altéré.
Que faire maintenant
Si votre infrastructure utilise Fetchmail sur les versions LTS mentionnées, l’action est claire : il faut migrer. Les développeurs de Fetchmail insistent pour que les utilisateurs se tournent vers la version 6.4.21 ou ultérieure, plutôt que de tenter des correctifs individuels, car cela risque d’omettre d’autres corrections importantes.
En parallèle, il faut rester vigilant face à d’autres menaces. Computer Hoy avait récemment signalé une vulnérabilité dans le gestionnaire de paquets APT des distributions Debian et Ubuntu (CVE-2026-109518), qui permettrait de remplacer des paquets vérifiés par des fichiers malveillants. C’est une menace différente, mais qui montre que l’écosystème Linux nécessite une vigilance constante au niveau des outils fondamentaux.
Les utilisateurs concernés doivent vérifier immédiatement leur version de Fetchmail et s’assurer qu’ils ont appliqué les mises à jour recommandées par Ubuntu Security.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2021-36386 | — | Élevée (CVSS 7,5) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2025-61962 | — | Moyenne (CVSS 5,9) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-94184 | — | Moyenne (CVSS 5,3) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- USN-9013-1: Fetchmail vulnerabilities, Ubuntu Security, 9 novembre 2026
- Descubren una vulnerabilidad APT en Debian y Ubuntu Linux que permite ejecutar malware con privilegios de administrador, Computer Hoy, 6 novembre 2026
- Avis de sécurité (fetchmail.info), fetchmail.info, 30 juillet 2021
- GHSA-rr6c-95pp-cpgf : report_vbuild in report.c in Fetchmail before 6.4.20 sometimes omits initialization of…, GitHub Advisory Database (CC BY 4.0)
- CVE-2021-36386, NVD (NIST)
- GHSA-q9v7-qrhr-3q9v : In fetchmail before 6.5.6, the SMTP client can crash when authenticating upon receiving a…, GitHub Advisory Database (CC BY 4.0)
- CVE-2025-61962, NVD (NIST)
- GHSA-5pfw-5pv2-2pc6 : A stack-based buffer overflow flaw was found in fetchmail when built with NTLM support.…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-94184, NVD (NIST)
