CVE-2026-44595 — Enumeración No Autorizada de Usuarios en YAMCS a través de la API de IAM

Resumen

Los endpoints de la API de IAM (listUsers, getUser, listGroups, getGroup) en yamcs-core no aplican la verificación requerida de SystemPrivilege.ControlAccess. Cualquier usuario autenticado — incluso uno sin privilegios — puede enumerar todas las cuentas de usuario, el estado de superusuario y las membresías de grupos.

Campo	Valor
CVE	CVE-2026-44595
Severidad	MEDIA (CVSS 4.3)
CWE	CWE-862: Autorización Ausente
Afectado	yamcs-core < 5.12.7
Corregido en	yamcs-core 5.12.7
Aviso	GHSA-p2rj-mrmc-9w29

Detalles de la Vulnerabilidad

Los siguientes endpoints carecen de la verificación de autorización SystemPrivilege.ControlAccess:

• GET /api/iam/users — lista todos los usuarios
• GET /api/iam/users/{name} — obtiene detalles del usuario
• GET /api/iam/groups — lista todos los grupos
• GET /api/iam/groups/{name} — obtiene detalles del grupo

Un usuario con pocos privilegios puede llamar a estos endpoints y recuperar todos los nombres de usuario, indicadores de superusuario, membresías de grupos e información del proveedor de identidad.

Prueba de Concepto

pip install requests
python3 poc.py http://localhost:8090 testuser testpassword

Salida esperada en una instancia vulnerable:

[2] Listando TODOS los usuarios (endpoint IAM)...
    Estado: HTTP 200
    [!!!] VULNERABLE: 3 usuarios enumerados
    -> admin [SUPERUSUARIO]
    -> operator [regular]
    -> testuser [regular]

Impacto

Un atacante con cualquier cuenta válida puede mapear toda la estructura de usuarios de la instancia YAMCS — identificando cuentas de superusuario para ataques dirigidos, enumerando cuentas de operador y comprendiendo los controles de acceso basados en grupos.

Solución

Actualice a yamcs-core >= 5.12.7.

Cronología

Fecha	Evento
2026-05	Vulnerabilidad reportada
2026-05-27	Corrección publicada en yamcs-core 5.12.7
2026-05-27	Aviso público publicado

Investigador

Daniel Miranda Barcelona (Excal1bur)

• GitHub: https://github.com/ex-cal1bur
• LinkedIn: https://linkedin.com/in/daniel-miranda-barcelona
• Blog: https://thedumpster.es