CVE-2026-31278 Suprema BioStar 2: Exposición de credenciales de Active Directory

Metadatos

Resumen

Existe una vulnerabilidad de divulgación de información sensible en Suprema BioStar 2 debido al manejo inadecuado de la configuración de integración con Active Directory. El endpoint de la API backend /api/v2/setting/adserversetting devuelve las credenciales de la cuenta de enlace de Active Directory en texto plano, a pesar de que la contraseña está enmascarada en la interfaz administrativa.

Versiones afectadas

• BioStar 2 Core / AC v2.9.5.29
• BioStar 2 T&A v2.9.5.3

Detalles técnicos

Aunque el campo de contraseña está enmascarado en la interfaz administrativa, las solicitudes autenticadas al backend de la API divulgan la contraseña completa sin cifrar junto con los parámetros de configuración de LDAP, incluida la comunicación SSL deshabilitada.

Un atacante autenticado envía una solicitud HTTP GET al endpoint de configuración del servidor AD y recibe la contraseña de la cuenta de servicio de Active Directory en texto plano dentro de la respuesta del servidor.

Prueba de concepto

Solicitud:

GET /api/v2/setting/adserversetting HTTP/1.1
Host: <target>
Authorization: Bearer <token>

Respuesta:

{
  "ad_server": "ldap://internal.domain.local",
  "bind_dn": "CN=svc_biostar,DC=domain,DC=local",
  "password": "<plaintext_password_returned_here>",
  "ssl_enabled": false
}

Impacto

Un atacante autenticado puede aprovechar las credenciales divulgadas para:

• Realizar autenticación LDAP contra Active Directory
• Enumerar usuarios, grupos y unidades organizativas del dominio
• Llevar a cabo reconocimiento interno de la red
• Realizar movimiento lateral entre sistemas conectados al dominio
• Potencialmente escalar privilegios dependiendo de los permisos de la cuenta de servicio

Cronología

CVE-2026-31278 asignado por MITRE | Corrección publicada en BioStar 2 v2.9.12 / BioStarX v1.0.2 |

Remedición

• Actualizar a BioStar 2 v2.9.12 o BioStarX v1.0.2
• Rotar todas las credenciales de la cuenta de servicio de Active Directory inmediatamente
• Restringir el acceso a la API únicamente a segmentos de red de confianza
• Habilitar LDAPS (SSL) para la comunicación con Active Directory

Referencias

• Suprema Inc.: https://www.supremainc.com

Créditos

Abdullah Alannaz Investigador de seguridad

Esta vulnerabilidad fue divulgada de manera responsable a Suprema. El proveedor confirmó el problema y coordinó con MITRE la asignación del CVE.