H3C CVM, le composant de gestion de la virtualisation en nuage de la plateforme H3C CAS, comporte une vulnérabilité critique de téléversement de fichiers sans authentification répertoriée sous CVE-2023-54405. Le point de terminaison /cas/fileUpload/upload accepte des téléversements de fichiers sans aucune authentification, et le paramètre token est vulnérable à une traversée de chemin. La Shadowserver Foundation a enregistré les premières preuves d'exploitation le 14 octobre 2023, ce qui signifie que cette vulnérabilité a été activement exploitée dans la nature.

Soyons directs sur ce qui a failli ici. Il y a deux défaillances de contrôle distinctes. Premièrement, un point de terminaison sensible de téléversement de fichiers a été exposé sans aucune authentification requise. Il ne s'agit pas d'une mauvaise configuration sur laquelle on tombe par hasard, c'est une décision de conception que quelqu'un a prise et que personne n'a interceptée lors de la revue. Deuxièmement, le serveur acceptait des données de chemin contrôlées par l'utilisateur dans le paramètre token sans assainissement, permettant à un attaquant de placer un fichier JSP malveillant dans un répertoire accessible par le Web et de simplement le demander pour obtenir l'exécution de code en tant que processus du serveur Web. Aucune accréditation. Aucune élévation de privilèges requise.

Pour les praticiens de l'IAM, la question pertinente est de savoir à quoi ressemble l'identité du serveur Web dans votre environnement. Si CAS ou des plateformes de gestion similaires fonctionnent sous un compte de service surprivilégié, une exécution de code à distance sans authentification place l'attaquant avec tous les accès de ce compte : les API de gestion de la virtualisation, les systèmes adjacents, les secrets mis en cache sur disque. C'est précisément le scénario où la portée des comptes de service et l'application du principe de moindre privilège importent le plus. Une compromission de l'utilisateur du serveur Web devrait être un événement de confinement, non un tremplin vers toute votre infrastructure infonuagique.

Les plans de gestion infonuagiques sont des cibles de grande valeur. Ils ont tendance à fonctionner avec des privilèges élevés, ils se trouvent souvent sur des réseaux internes que les équipes supposent offrir une protection implicite, et leurs points de terminaison administratifs sont fréquemment omis lors des revues de sécurité orientées vers l'externe. Si vous exploitez H3C CAS de quelque façon que ce soit, vous devez traiter cela comme un risque d'exploitation active, non comme un risque théorique.

Si vous utilisez H3C CAS, appliquez les correctifs ou isolez le composant CVM immédiatement et vérifiez vos journaux de serveur Web pour détecter toute requête inattendue vers /cas/fileUpload/upload en remontant au moins jusqu'en octobre 2023. Au-delà de cela, vérifiez le compte de service qui exécute votre plan de gestion infonuagique : il ne devrait pas disposer de droits au-delà de ce dont CVM lui-même a besoin pour fonctionner. Si vous ne pouvez pas appliquer les correctifs immédiatement, placez une règle WAF ou un contrôle réseau devant ce point de terminaison pour bloquer les accès non authentifiés pendant que vous progressez dans le processus de changement.