La Direction générale de la sécurité des systèmes d’information (DGSSI), relevant de l’Administration de la défense nationale du Royaume du Maroc, a publié un bulletin de sécurité signalant «une vulnérabilité critique dans Libraesva ESG (Email Security Gateway)». L’avis, référencé sous le numéro «57103009/25» et daté du 30 septembre, classe le risque comme «critique», tant par son niveau de gravité que par son étendue.
Le texte officiel précise que «les systèmes affectés couvrent les versions 5.0 antérieures à 5.0.31, 5.1 antérieures à 5.1.20, 5.2 antérieures à 5.2.31, 5.3 antérieures à 5.3.16, 5.4 antérieures à 5.4.8 et 5.5 antérieures à 5.5.7». L’alerte mentionne également l’identificateur externe «CVE-2025-59689», enregistré dans la base mondiale recensant les vulnérabilités de sécurité.
Nature de la faille et risques encourus
La DGSSI indique qu’«une vulnérabilité critique a été corrigée dans Libraesva ESG». Selon ses spécialistes, «un attaquant peut exploiter cette faille d’injection de commandes par l’envoi d’un courriel malveillant contenant une archive compressée spécialement conçue afin d’exécuter des commandes arbitraires avec les droits d’un utilisateur non privilégié, ouvrant la voie à une compromission totale du système».
Le bulletin avertit que les conséquences d’une exploitation malveillante incluent «l’exécution de commandes arbitraires à distance, l’élévation de privilèges et la compromission de système». L’avis recommande de se référer directement aux «bulletins de sécurité Libraesva pour plus d’information».