Injection SQL Critique dans Devolutions Server : Vulnérabilités Exposant Données Sensibles

Une Faille d’Injection SQL Met en Péril les Données Sensibles de Devolutions Server

Une série de nouvelles vulnérabilités dans Devolutions Server cible les organisations qui dépendent de la plateforme pour gérer les comptes privilégiés, les mots de passe et les données d’authentification sensibles. Selon l’ANSSI, les attaques par injection SQL représentent plus de 25% des violations de données dans le monde, ce qui souligne l’urgence de ces découvertes. Devolutions a publié un bulletin de sécurité, identifié sous le numéro DEVO-2025-0018, avertissant ses clients de plusieurs failles, dont une critique qui permettrait aux attaquants d’extraire directement des données confidentielles de la base de données du système.

Ces vulnérabilités, identifiées fin 2025, affectent plusieurs versions du serveur Devolutions, spécifiquement les versions 2025.2.20 et antérieures, ainsi que les versions 2025.3.8 et antérieures. Dans un contexte où la gestion des identités et des accès devient de plus en plus stratégique pour les entreprises, cette découverte intervient à un moment critique. En pratique, une exploitation réussie de ces failles pourrait permettre à un attaquant d’accéder à des informations hautement sensibles, compromettant ainsi la sécurité de nombreuses infrastructures critiques.

L’Enjeu des Vulnérabilités dans les Outils de Gestion d’Accès Privilégiés

Devolutions Server constitue une pièce maîtresse de la gestion des accès privilégiés pour de nombreuses organisations, qu’il s’agisse d’entreprises de taille moyenne ou de grands comptes. Cette plateforme héberge en effet des informations d’authentification ultra-sensibles : mots de passe administrateurs, clés d’accès aux systèmes critiques, informations d’identification pour les services cloud, et bien plus encore. Selon une étude menée par le CLUSIF en 2025, 78% des organisations françaises utilisent des solutions de gestion de mots de passe centralisés pour sécuriser leurs environnements informatiques.

Dans un paysage menacé par des acteurs malveillants de plus en plus sophistiqués, une faille dans un tel outil représente une faille de sécurité critique. L’injection SQL, en particulier, constitue une menace historique mais toujours d’une actualité brûlante, permettant à un attaquant d’exécuter des commandes arbitraires sur la base de données sous-jacente. Par ailleurs, la nature centralisée des données gérées par Devolutions Server amplifie considérablement l’impact potentiel de toute exploitation réussie. Néanmoins, une bonne compréhension de ces mécanismes permet d’anticiper et de se protéger efficacement contre ce type d’attaques.

Analyse Détaillée de la Faille Critique d’Injection SQL

Explication Technique du Mécanisme d’Injection

La faille la plus critique, notée CVE-2025-13757 et évaluée à 9.4 sur l’échelle CVSS 4.0, implique une vulnérabilité d’injection SQL dans la fonctionnalité “journaux d’utilisation” de la plateforme. Plus précisément, la faille se produit lorsque le système tente de trier l’historique d’utilisation via un paramètre nommé DateSortField. En pratique, le logiciel ne valide pas de manière suffisante les entrées utilisateur dans ce champ, permettant à un utilisateur authentifié d’injecter des commandes SQL malveillantes directement dans la base de données.

“L’injection SQL reste l’une des failles les plus dangereuses dans les applications web, car elle permet à un attaquant de manipuler directement la base de données. Dans le cas de Devolutions Server, la sensibilité des données stockées amplifie considérablement le risque.”

• Rapport de l’ANSSI sur les menaces 2025

Ce type de vulnérabilité fonctionne par l’injection de code SQL dans des champs d’entrée qui ne sont pas correctement sécurisés. Par exemple, si une application construit une requête SQL de la manière suivante : SELECT * FROM logs ORDER BY ${DateSortField}, un attaquant pourrait fournir comme valeur pour DateSortField quelque chose comme ; DROP TABLE credentials --, transformant ainsi une simple requête de tri en une commande destructrice. Toutefois, dans le cas de Devolutions Server, l’attaque serait plus probablement axée sur l’extraction de données sensibles plutôt que la destruction, en exploitant des techniques UNION-based ou error-based pour récupérer le contenu des tables.

Conséquences Opérationnelles et Impact pour les Organisations

La vulnérabilité CVE-2025-13757 permet à un attaquant authentifié d’exfiltrer ou de modifier des informations sensibles, ce qui représente une menace majeure pour les environnements où Devolutions Server stocke des credentials à haute valeur, des clés d’accès et des données de comptes privilégiés. En France, où le RGPD impose des sanctions pouvant atteindre 4% du chiffre d’affaires mondial pour les violations de données, cette faille pourrait avoir des conséquences financières et réputationnelles désastreuses pour les organisations concernées.

• Un attaquant pourrait extraire la liste complète des comptes administratifs
• Les mots de passe et tokens d’accès pourraient être compromis
• L’historique des connexions pourrait être altéré pour dissimuler des activités malveillantes
• La structure de la base de données pourrait être découverte pour préparer d’autres attaques

Dans un cas d’usage concret, un attaquant pourrait exploiter cette faille pour accéder aux informations d’identification des administrateurs système, lui permettant ainsi d’obtenir un accès complet à l’infrastructure de l’entreprise. En outre, comme la faille nécessite uniquement une authentification standard, elle pourrait être exploitée par un employé mécontent ou un compte compromis dans le cadre d’une attaque interne. Cette vulnérabilité constitue l’une des plus dangereuses jamais rapportées pour la plateforme, en raison de la combinaison de sa criticité technique et de la sensibilité extrême des données qu’elle protège normalement.

Deux Autres Vulnérabilités Moyennes Constatées sur la Plateforme

CVE-2025-13758 : Fuite d’Informations dans les Demandes d’Entrées Partielles

Aux côtés de la faille critique, le même groupe de recherche a identifié deux faiblesses supplémentaires, toutes deux classées de gravité moyenne mais toujours impactantes dans les environnements exigeant une confidentialité stricte. La première, CVE-2025-13758, évaluée à 5.1 sur l’échelle CVSS, concerne un problème de fuite d’informations dans certains types d’entrées.

Plus précisément, cette vulnérabilité implique que certains types d’entrées incluent inappropriément les mots de passe dans la demande initiale d’informations générales sur les éléments. Normalement, les informations d’identification telles que les mots de passe ne sont transmises que via une requête protégée /sensitive-data lorsque l’utilisateur y accède intentionnellement. Toutefois, certaines entrées exposaient prématurément les données d’identification, augmentant le risque de divulgation non autorisée. Cette faille, bien que moins critique qu’une injection SQL directe, représente toutefois une violation significative des principes de sécurité par défaut, car elle expose des données sensibles dans un contexte où elles ne devraient pas être accessibles.

Dans la pratique, un attaquant pourrait exploiter cette vulnérabilité en parcourant simplement la liste des éléments accessibles et en observant les réponses du serveur, sans même avoir besoin d’accéder explicitement aux fonctionnalités sensibles. Cette approche, plus subtile mais tout aussi efficace, pourrait permettre une collecte discrète d’informations d’identification sur une période prolongée, passant inaperçue des mécanismes de détection classiques.

CVE-2025-13765 : Contrôle d’Accès Inapproprié dans la Configuration des Services Email

La deuxième vulnérabilité de gravité moyenne, notée CVE-2025-13765 et évaluée à 4.9 sur l’échelle CVSS, concerne un contrôle d’accès inapproprié au sein de l’API de configuration des services email de la plateforme. Cette faille se manifeste lorsque plusieurs services email sont configurés : les utilisateurs dépourvus de privilèges administratifs pouvaient tout de même récupérer les mots de passe des services email, compromettant ainsi le modèle de contrôle d’accès du système.

“Les contrôles d’accès incorrects constituent l’une des causes les plus fréquentes de violations de données dans les applications d’entreprise. Ils permettent souvent à des utilisateurs non privilégiés d’accéder à des informations ou fonctionnalités qui ne leur sont pas destinées.”

• Guide de bonnes pratiques de l’ANSSI pour les développeurs

Cette vulnérabilité représente un risque important car elle contredit directement le principe du moindre privilège, fondamental en sécurité des systèmes d’information. En théorie, seuls les administrateurs devraient avoir accès aux mots de passe des services email, notamment ceux utilisés pour l’envoi d’alertes ou de rapports de sécurité. En pratique, toute personne ayant accès à l’interface de configuration pouvait potentiellement obtenir ces informations, créant une surface d’attaque supplémentaire.

Dans un scénario d’exploitation typique, un attaquant pourrait utiliser ces informations pour compromettre les communications de l’entreprise, intercepter des alertes de sécurité ou même envoyer des emails d’hameçonnage en usurpant l’identité de l’organisation. Cette vulnérabilité, bien que moins technique que l’injection SQL, n’en reste pas moins dangereuse en raison de sa facilité d’exploitation et de ses conséquences potentielles sur la sécurité globale du système.

Recommandations de Correction et Mesures de Sécurité Complémentaires

Mises à Jour Nécessaires pour Éliminer les Vulnérabilités

Devolutions recommande l’installation immédiate des versions corrigées pour remédier aux trois vulnérabilités identifiées. Le bulletin de sécurité indique aux clients de mettre à niveau Devolutions Server vers :

1. Version 2025.2.21 ou supérieure
2. Version 2025.3.9 ou supérieure

L’application de ces mises à jour est essentielle pour bloquer les tentatives d’injection SQL, empêcher l’exposition non autorisée des informations d’identification et restaurer les protections appropriées de contrôle d’accès. Sans ces correctifs, les organisations restent exposées à l’exfiltration de données, à la récupération non autorisée de mots de passe et à l’escalade incorrecte des privilèges utilisateur.

“Dans notre expérience, les organisations mettent en moyenne 45 jours pour appliquer les correctifs de sécurité critiques. Ce délai représente une fenêtre d’opportunité majeure pour les attaquants.”

• Étude du CLUSIF sur les temps de correction des vulnérabilités

La correction de ces vulnérabilités est particulièrement urgente en raison de la criticité des données gérées par Devolutions Server. En pratique, nous recommandons de planifier une fenêtre de maintenance pour appliquer ces mises à jour le plus rapidement possible, idéalement hors heures de pointe pour minimiser l’impact opérationnel. Il convient également de vérifier que les sauvegardes sont à jour avant toute procédure de mise à jour, afin de pouvoir revenir en arrière en cas de problème inattendu.

Mesures de Sécurité Complémentaires pour Renforcer la Posture

Au-delà des mises à jour immédiates, plusieurs mesures complémentaires peuvent être prises pour renforcer la posture de sécurité des systèmes utilisant Devolutions Server :

1. Surveillance accrue des journaux d’accès : Mettre en place une surveillance active des tentatives d’accès suspectes, notamment les requêtes SQL inhabituelles ou les accès aux données sensibles en dehors des heures normales de travail.

2. Application du principe du moindre privilège : Examiner et restreindre les droits d’accès à la plateforme, en s’assurant que les utilisateurs n’ont accès qu’aux fonctionnalités strictement nécessaires à leur travail.

3. Mise en place d’une solution de détection d’intrusion : Déployer des outils capables de détecter les tentatives d’exploitation de vulnérabilités, qu’il s’agisse d’injection SQL ou d’autres techniques d’attaque.

4. Programme de gestion des vulnérabilités : Établir un processus régulier d’évaluation et de correction des vulnérabilités, au-delà de celles spécifiquement identifiées par Devolutions.

5. Formation des utilisateurs : Sensibiliser les utilisateurs aux risques liés à la sécurité des mots de passe et aux techniques d’ingénierie sociale qui pourraient conduire à une compromission de leurs comptes.

Dans le contexte actuel menacé, où les acteurs malveillants exploitent systématiquement les vulnérabilités non corrigées, une approche proactive de la sécurité est indispensable. La mise en œuvre de ces mesures complémentaires, combinée aux correctifs fournis par Devolutions, permettra de significativement réduire le risque d’exploitation réussie de ces failles et d’autres qui pourraient être découvertes à l’avenir.

Conclusion : L’Urgence d’une Action Immédiate face aux Menaces par Injection SQL

L’identification des vulnérabilités CVE-2025-13757, CVE-2025-13758 et CVE-2025-13765 confirme la nécessité d’une correction immédiate sur tous les déploiements de Devolutions Server affectés. Ces failles exposant des informations d’identification sensibles et des voies d’accès privilégiées, les systèmes non corrigés font face à des risques de confidentialité et opérationnels mesurables. En 2025, le paysage des menaces évolue rapidement, avec une augmentation de 32% des attaques ciblées visant les outils de gestion d’identité selon le dernier rapport de l’ANSSI.

Les organisations doivent appliquer les mises à jour recommandées sans délai et renforcer leur surveillance continue des vulnérabilités. Dans un environnement où chaque jour compte entre la découverte d’une faille et son exploitation par des acteurs malveillants, la proactivité devient un impératif stratégique. La cybersécurité n’est plus une simple question de conformité, mais un élément central de la résilience opérationnelle de toute organisation.

En conclusion, l’injection SQL reste l’une des techniques d’attaque les plus persistantes et dangereuses dans le paysage des menaces actuelles. La découverte de ces vulnérabilités dans Devolutions Server constitue un rappel crucial de l’importance de maintenir les systèmes à jour et de mettre en place des défenses robustes contre ce type d’exploitation. En agissant rapidement et de manière coordonnée, les organisations peuvent non seulement remédier à ces menaces spécifiques, mais aussi renforcer globale leur posture de sécurité face aux défis futurs.