H3C CVM, el componente de gestión de virtualización en la nube de la plataforma H3C CAS, presenta una vulnerabilidad crítica de carga de archivos sin autenticación identificada como CVE-2023-54405. El endpoint /cas/fileUpload/upload acepta cargas de archivos sin ningún tipo de autenticación, y el parámetro token es vulnerable a path traversal. La Shadowserver Foundation registró la primera evidencia de explotación el 14 de octubre de 2023, lo que significa que este fallo ha sido abusado activamente en entornos reales.

Conviene ser directos respecto a lo que falló aquí. Existen dos fallos de control diferenciados. Primero, un endpoint sensible de carga de archivos quedó expuesto sin requerir ninguna autenticación. No se trata de una mala configuración que uno encuentra por accidente, sino de una decisión de diseño que alguien tomó y que nadie detectó en la revisión. Segundo, el servidor aceptó entradas de ruta controladas por el usuario en el parámetro token sin ningún saneamiento, lo que permitió a un atacante colocar un archivo JSP malicioso en un directorio accesible desde la web y luego simplemente solicitarlo para obtener ejecución de código como el proceso del servidor web. Sin credenciales. Sin necesidad de escalada de privilegios.

Para los profesionales de IAM, la pregunta relevante es qué aspecto tiene la identidad del servidor web en su entorno. Si CAS u otras plataformas de gestión similares se ejecutan bajo una cuenta de servicio con privilegios excesivos, un RCE sin autenticación le entrega al atacante todo lo que esa cuenta puede alcanzar: APIs de gestión de virtualización, sistemas adyacentes y secretos almacenados en disco. Este es precisamente el escenario en el que el alcance de las cuentas de servicio y la aplicación del principio de mínimo privilegio son más importantes. El compromiso del usuario del servidor web debe ser un evento de contención, no un punto de pivote hacia toda la infraestructura cloud.

Los planos de gestión cloud son objetivos de alto valor. Suelen ejecutarse con privilegios elevados, frecuentemente se encuentran en redes internas que los equipos asumen que ofrecen protección implícita, y sus endpoints administrativos quedan fuera del alcance de las revisiones de seguridad orientadas al exterior. Si opera H3C CAS en cualquier capacidad, debe tratar esto como un riesgo de explotación activa, no como uno teórico.

Si ejecuta H3C CAS, aplique el parche o aísle el componente CVM de inmediato y revise los logs de su servidor web en busca de solicitudes inesperadas a /cas/fileUpload/upload desde al menos octubre de 2023. Más allá de eso, audite la cuenta de servicio que ejecuta su plano de gestión cloud: no debe tener derechos más allá de lo que el propio CVM necesita para funcionar. Si no puede aplicar el parche en este momento, coloque una regla de WAF o un control de red delante de ese endpoint para bloquear el acceso no autenticado mientras avanza en el proceso de cambios.