CVE-2025-29556 – Omisión de Creación de Cuenta de Oficial de Seguridad en ExaGrid

📝 Resumen

Título de Vulnerabilidad: Creación No Autorizada de Cuenta de Oficial de Seguridad
Producto: ExaGrid EX10 Backup Appliance
Versión Afectada: Probada en la versión actual en el momento de la divulgación
Versiones Afectadas: 6.3 – 7.0.1.P08
ID de CVE: CVE-2025-29556
Severidad: Alta
Vector de Ataque: Acceso Autenticado con Bajos Privilegios
Impacto: Escalada de Privilegios al Rol de Oficial de Seguridad

🧨 Descripción

Esta prueba de concepto (PoC) demuestra una falla crítica en la API de ExaGrid que permite que una sesión con pocos privilegios o secuestrada cree cuentas de Oficial de Seguridad sin la validación o autorización adecuadas. El atacante debe poseer una cookie JSESSIONIDSSO válida y el UUID del sitio.

La vulnerabilidad permite escalada de privilegios y control administrativo total sobre operaciones de copia de seguridad, creación de usuarios, configuraciones de cifrado y más.

🚀 Uso

⚙️ Requisitos Previos

• Python 3.x
• Librería requests (pip install requests)
• Válido:
  • Cookie JSESSIONIDSSO
  • UUID del sitio

📌 Comando

python3 create_security_officer.py --url 10.0.0.5 --cookie YOUR_JSESSIONIDSSO --uuid YOUR_SITE_UUID

Agregue --debug para ver la respuesta sin procesar:

python3 create_security_officer.py --url 10.0.0.5 --cookie abc123def456 --uuid a1b2c3d4 --debug

🧾 Lo Que Hace

• Envía una solicitud POST al endpoint /api/v1/sites/{uuid}/users
• Omite los controles previstos y crea un nuevo usuario:
  • Usuario: Security_Officer_BYPASSED
  • Grupo: exagrid-sec-offs
  • Contraseña: codificada en base64 (ejemplo: XTNhXmJeKHo/P0hdTSY=)

🔐 Impacto

• Omite los controles de acceso en torno a la creación de cuentas de Oficial de Seguridad
• Otorga acceso de máximo nivel dentro del dispositivo de copia de seguridad
• Puede resultar en manipulación de copias de seguridad, alteración de políticas y acceso a datos sensibles

🛡️ Mitigación

• Aplicar parche cuando ExaGrid publique una corrección
• Monitorear usuarios inesperados en el grupo exagrid-sec-offs
• Invalidar sesiones sospechosas o caducadas
• Limitar el acceso a interfaces de administración internas

👨‍💻 Autor

Investigador de Seguridad – Kevin Suckiel -- 0xsu3ks
PoC para CVE-2025-29556 divulgado a través de canales responsables.

⚠️ Aviso Legal

Esta herramienta está destinada únicamente para pruebas autorizadas y fines de investigación. El autor no asume ninguna responsabilidad por el uso indebido o daños causados por este código.