CVE-2025-29556 – Contournement de la création de compte Security Officer chez ExaGrid

📝 Aperçu

Titre de la vulnérabilité : Création non autorisée de compte Security Officer
Produit : ExaGrid EX10 Backup Appliance
Version concernée : Testé sur la version actuelle au moment de la divulgation
Versions concernées : 6.3 – 7.0.1.P08
ID CVE : CVE-2025-29556
Sévérité : Élevée
Vecteur d'attaque : Accès authentifié avec privilèges faibles
Impact : Élévation de privilèges vers le rôle de Security Officer

🧨 Description

Cette preuve de concept (PoC) démontre une faille critique dans l'API d'ExaGrid qui permet à une session à faibles privilèges ou détournée de créer des comptes Security Officer sans validation ou autorisation appropriée. L'attaquant doit posséder un cookie JSESSIONIDSSO valide et le site UUID.

La vulnérabilité permet une élévation de privilèges et un contrôle administratif complet sur les opérations de sauvegarde, la création d'utilisateurs, les paramètres de chiffrement, et plus encore.

🚀 Utilisation

⚙️ Prérequis

• Python 3.x
• Bibliothèque requests (pip install requests)
• Valide :
  • Cookie JSESSIONIDSSO
  • site UUID

📌 Commande

python3 create_security_officer.py --url 10.0.0.5 --cookie YOUR_JSESSIONIDSSO --uuid YOUR_SITE_UUID

Ajoutez --debug pour voir la réponse brute :

python3 create_security_officer.py --url 10.0.0.5 --cookie abc123def456 --uuid a1b2c3d4 --debug

🧾 Ce qu'il fait

• Envoie une requête POST au point de terminaison /api/v1/sites/{uuid}/users
• Contourne les contrôles prévus et crée un nouvel utilisateur :
  • Nom d'utilisateur : Security_Officer_BYPASSED
  • Groupe : exagrid-sec-offs
  • Mot de passe : encodé en base64 (exemple : XTNhXmJeKHo/P0hdTSY=)

🔐 Impact

• Contourne les contrôles d'accès autour de la création de comptes Security Officer
• Accorde un accès de plus haut niveau au sein de l'appliance de sauvegarde
• Peut entraîner la manipulation des sauvegardes, la falsification des politiques et l'accès à des données sensibles

🛡️ Atténuation

• Appliquez un correctif dès qu'ExaGrid en publie un
• Surveillez les utilisateurs inattendus dans le groupe exagrid-sec-offs
• Invalidez les sessions suspectes ou obsolètes
• Limitez l'accès aux interfaces de gestion internes

👨‍💻 Auteur

Chercheur en sécurité – Kevin Suckiel -- 0xsu3ks
PoC pour CVE-2025-29556 divulgué par des canaux responsables.

⚠️ Avis légal

Cet outil est destiné uniquement à des fins de test et de recherche autorisées. L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages causés par ce code.