Nous avons publié le 01/10/2026 quatre versions de maintenance de BlueMind : 5.7.3, 5.6.6, 5.5.18 et 5.4.12. Elles apportent des corrections fonctionnelles, mais surtout plusieurs correctifs de sécurité.
Voici ce qu’il faut savoir et ce que nous vous recommandons de faire.
Synthèse
- Mettez à jour vers la version corrective de votre branche sans attendre, de préférence avant votre prochaine fenêtre de maintenance programmée.
- Les vulnérabilités les plus importantes nécessitent un compte valide sur la plateforme. Une personne extérieure sans identifiants ne peut pas s’en servir.
- Nous n’avons connaissance d’aucune exploitation de ces vulnérabilités à ce jour.
- Il n’est pas nécessaire d’interrompre immédiatement le service pour faire cette mise à jour : celle-ci doit se faire selon votre procédure de mise à jour de sécurité habituelle.
Pourquoi ces mises à jour ?
La sécurité d’une messagerie collaborative repose sur un travail continu. Nos équipes auditent régulièrement le code de BlueMind et la dernière campagne a mis en évidence plusieurs défauts. Ils sont tous corrigés dans ces versions.
BlueMind est un logiciel open source, certaines de ces corrections étaient visibles sur ce dépôt dès la mi-septembre, avant la publication des versions installables. C’est une raison de plus pour mettre à jour rapidement.
Les vulnérabilités corrigées
Nous avons évalué chaque vulnérabilité avec l’échelle standard CVSS 3.1.
| Domaine | Ce qui a été corrigé | Prérequis | Gravité (CVSS 3.1) |
|---|---|---|---|
| Messagerie | Un paramètre de l’API de messagerie n’était pas assez contrôlé. Un utilisateur pouvait accéder à des données qui ne lui appartiennent pas. | Compte utilisateur | Critique (9.9) |
| Agendas et contacts (CalDAV/CardDAV) | Certains documents XML étaient traités de façon non sécurisée. Un utilisateur pouvait lire certains fichiers du serveur. | Compte utilisateur | Élevée (7.7) |
| Administration | Un contrôle insuffisant dans la consultation des tâches planifiées permettait à un administrateur de domaine de dépasser le périmètre de son domaine. | Administrateur de domaine | Critique (9.1) |
| Authentification AD/LDAP | Après un changement de mot de passe fait dans BlueMind, l’ancien mot de passe restait accepté quelques minutes. | Connaître l’ancien mot de passe | Moyenne (4.8) |
| Administration AD | Un administrateur de domaine pouvait modifier un paramètre d’import Active Directory réservé à l’administrateur global. | Administrateur de domaine | Faible (2.7) |
| Serveur web | Certaines informations des journaux du serveur web pouvaient être faussées. | Compte utilisateur | Moyenne (4.3) |
| Supervision (5.7 uniquement) | Lorsque la supervision intégrée est active, des informations techniques de l’outil de supervision (Grafana) étaient accessibles depuis l’extérieur. Aucune donnée utilisateur n’était concernée. | Aucun | Moyenne (5.3) |
Une seule de ces vulnérabilités est accessible sans compte. Elle ne concerne que la version 5.7, et uniquement des informations techniques de l’outil de supervision.
Ces versions intègrent aussi des mises à jour de sécurité de composants tiers : Java, PostgreSQL et plusieurs bibliothèques réseau et de traitement de documents. La version 5.4.12 inclut en plus nginx 1.30.1.
Nous ne publions volontairement pas de détails techniques supplémentaires. Nous voulons laisser à chacun le temps de mettre à jour ses installations.
Quelle version installer ?
La procédure de mise à jour est décrite dans notre documentation :
| Vous utilisez | Installez |
|---|---|
| BlueMind 5.7 | 5.7.3 |
| BlueMind 5.6 | 5.6.6 |
| BlueMind 5.5 | 5.5.18 |
| BlueMind 5.4 | 5.4.12 |
| BlueMind 5.3 ou antérieure, ou 4.x | Ces versions ne sont plus maintenues et ne recevront pas de correctif. Contactez-nous pour planifier une migration vers une version maintenue. |
Vous êtes en 5.4 ?
La version 5.4.12 corrige les vulnérabilités les plus graves. La vulnérabilité « Authentification AD/LDAP », de gravité moyenne, n’y est pas encore corrigée. Elle devrait l’être dans une prochaine version corrective.
En attendant, après un changement de mot de passe lié à une compromission, la commande `bm-cli maintenance flush-cache` permet d’invalider immédiatement l’ancien mot de passe, sans couper le service. Elle vide tous les caches du serveur, ce qui peut ralentir brièvement la plateforme : lancez-la de préférence hors des heures de pointe.
Surtout, la branche 5.4 est en fin de vie depuis le 5 mars 2026. Nous vous recommandons très fortement de migrer vers une version plus récente.
Nos recommandations complémentaires
Que vous ayez déjà mis à jour ou non, ces bonnes pratiques restent utiles :
- vérifiez que les comptes administrateur de domaine sont toujours justifiés ;
- désactivez les comptes qui ne servent plus (anciens collaborateurs, prestataires, comptes de test) ;
- surveillez les accès inhabituels, en particulier sur les comptes à privilèges.
Partenaires, intégrateurs et hébergeurs
Si vous exploitez des plateformes pour le compte de vos clients, et en particulier des plateformes mutualisées (plusieurs organisations sur une même installation), traitez-les en priorité. Certaines de ces vulnérabilités concernent en effet le cloisonnement entre domaines.
Besoin d'aide ?
Notre support se tient à votre disposition pour toute question, ou pour vous accompagner dans la mise à jour.
Merci de votre confiance, et bonne mise à jour !
L’équipe BlueMind
