IBM Guardium Data Protection 12.2 comporte une vulnérabilité d'authentification manquante répertoriée sous CVE-2026-84078. La faille réside dans le LoadBalancerServlet et permet à un utilisateur non authentifié d'accéder directement à des opérations privilégiées de répartition de charge. Aucune information d'identification n'est requise. C'est un problème qui touche l'intégrité et la disponibilité, pas seulement la confidentialité.

Guardium est une plateforme de surveillance de l'activité des données. Les organisations la déploient précisément parce qu'elle est censée se placer devant les données sensibles et détecter les accès non autorisés. Lorsque l'outil de sécurité lui-même expose un point de terminaison non authentifié donnant accès à des opérations internes privilégiées, l'ironie est cuisante, mais le risque est bien réel. Un attaquant capable d'atteindre ce servlet par le réseau peut manipuler le routage du trafic ou perturber la fonction de surveillance elle-même, ce qui correspond exactement à ce que rechercherait un adversaire cherchant à passer inaperçu.

Ce qui a échoué ici, c'est un contrôle fondamental : l'authentification avant l'autorisation. Le LoadBalancerServlet était apparemment accessible sans aucune vérification d'identité. Il s'agit d'une catégorie de bogue qui ne devrait jamais franchir l'étape de la révision de code dans un produit de sécurité, mais cela arrive, et c'est un rappel que même vos outils de sécurité présentent leur propre surface d'attaque. D'après mon expérience, les plateformes de sécurité telles que les outils DLP, DAM et SIEM font l'objet d'un examen beaucoup moins rigoureux dans les programmes de gestion des vulnérabilités que les applications qu'elles sont censées protéger. C'est une lacune qu'il vaut la peine de combler.

Si vous exploitez Guardium 12.2, votre premier geste est la segmentation réseau. Confirmez que vos interfaces de gestion et de couche données de Guardium ne sont pas accessibles depuis les réseaux d'entreprise généraux ni, pire encore, depuis Internet. Cela ne corrige pas la vulnérabilité, mais cela limite le rayon d'impact en attendant un correctif. Vérifiez vos règles de pare-feu et la documentation de déploiement de Guardium pour déterminer exactement sur quels ports et chemins le LoadBalancerServlet est en écoute, puis limitez l'accès à ces chemins aux seuls hôtes de gestion connus.

Appliquez le correctif ou la mesure d'atténuation d'IBM dès qu'il sera disponible. Si IBM n'a pas encore publié de correctif, ouvrez un dossier de soutien et demandez explicitement des solutions de contournement provisoires, qu'il s'agisse d'un filtre de servlet, d'une règle WAF ou d'un indicateur de configuration. Ne présumez pas que l'avis de sécurité vous parviendra automatiquement. Allez le chercher. Et pendant que vous y êtes, auditez les autres points de terminaison exposés par votre instance Guardium et vérifiez si chacun d'eux exige une authentification. Un servlet non authentifié laisse supposer qu'il pourrait en exister d'autres.