O H3C CVM, componente de gerenciamento de virtualização em nuvem da plataforma H3C CAS, possui uma vulnerabilidade crítica de upload de arquivo sem autenticação rastreada como CVE-2023-54405. O endpoint /cas/fileUpload/upload aceita uploads de arquivos sem qualquer autenticação, e o parâmetro token é vulnerável a path traversal. A primeira evidência de exploração foi registrada pela Shadowserver Foundation em 14 de outubro de 2023, o que significa que essa vulnerabilidade já está sendo ativamente explorada em ambiente real.

Vamos ser diretos sobre o que falhou aqui. Existem duas falhas de controle distintas. Primeira: um endpoint sensível de upload de arquivo foi exposto sem nenhuma autenticação requerida. Isso não é uma configuração incorreta que alguém comete por acidente, é uma decisão de design que alguém tomou e que ninguém identificou em revisão. Segunda: o servidor aceitava entradas de caminho controladas pelo usuário no parâmetro token sem sanitização, permitindo que um atacante posicionasse um arquivo JSP malicioso em um diretório acessível pela web e simplesmente o requisitasse para obter execução de código como o processo do servidor web. Sem credenciais. Sem necessidade de escalada de privilégios.

Para profissionais de IAM, a questão relevante é como está definida a identidade do servidor web no seu ambiente. Se o CAS ou plataformas de gerenciamento similares rodam sob uma conta de serviço com privilégios excessivos, um RCE sem autenticação entrega ao atacante tudo o que essa conta pode acessar: APIs de gerenciamento de virtualização, sistemas adjacentes, segredos armazenados em disco. Esse é exatamente o cenário em que o escopo de contas de serviço e a aplicação do princípio de menor privilégio são mais importantes. O comprometimento do usuário do servidor web deve ser um evento de contenção, não um ponto de pivô para toda a infraestrutura de nuvem.

Os planos de gerenciamento de nuvem são alvos de alto valor. Tendem a operar com privilégios elevados, frequentemente estão em redes internas que as equipes assumem oferecer proteção implícita, e seus endpoints administrativos são constantemente negligenciados nas revisões de segurança voltadas para o perímetro externo. Se você opera o H3C CAS em qualquer capacidade, precisa tratar isso como risco de exploração ativa, não teórica.

Se você utiliza o H3C CAS, aplique o patch ou isole o componente CVM imediatamente e verifique os logs do seu servidor web em busca de requisições inesperadas para /cas/fileUpload/upload pelo menos desde outubro de 2023. Além disso, audite a conta de serviço que executa seu plano de gerenciamento de nuvem: ela não deve ter direitos além do que o próprio CVM precisa para funcionar. Caso não seja possível aplicar o patch agora, adicione uma regra de WAF ou um controle de rede na frente desse endpoint para bloquear acessos não autenticados enquanto você conclui o processo de mudança.