Détail

• Vecteur d'attaque (AV) : Réseau
• Complexité de l'attaque (AC) : Faible
• Privilèges requis (PR) : Faible (accès invité)
• Interaction utilisateur (UI) : Aucune
• Portée (S) : Inchangée
• Confidentialité (C) : Élevée
• Intégrité (I) : Aucune
• Disponibilité (A) : Aucune

Impact

Cette vulnérabilité permet aux attaquants disposant d'un accès de niveau invité de :

• Énumérer les noms d'utilisateur valides
• Récupérer les rôles de privilèges associés
• Accéder à des métadonnées supplémentaires sur les utilisateurs

Informations exposées

• Nom d'utilisateur
• ID utilisateur
• Catégorie
• Rôle
• Description
• Quota
• Groupes
• Groupe principal

Impact sur la sécurité

• Divulgation d'informations : Oui
• Élévation de privilèges (indirecte) : Possible via reconnaissance

Détails techniques

Le point de terminaison /nasapi ne valide pas correctement l'autorisation lors du traitement des requêtes liées aux utilisateurs.

En modifiant un paramètre de requête, un utilisateur à faibles privilèges ou invité peut récupérer des informations sur d'autres utilisateurs.

Exemple de point de terminaison

/nasapi

Cause racine

• Absence de vérifications d'autorisation
• Référence d'objet directe non sécurisée (IDOR)
• Paramètre contrôlé par l'utilisateur non validé

Preuve de concept (PoC)

Expurgé pour éviter tout abus. Disponible sur demande responsable.

Atténuation

Selon le fournisseur :

Buffalo a confirmé la vulnérabilité mais ne publiera pas de correctif.

Atténuation recommandée

Désactivez le compte utilisateur invité pour empêcher tout accès non autorisé.

Réponse du fournisseur

Buffalo a reconnu le problème et a déclaré :

• Aucun correctif ne sera publié
• Les données exposées sont considérées comme non critiques
• L'atténuation est suffisante

Chronologie

• Découvert par : Zaid Shaikh
• Fournisseur notifié : [17 déc. 2025]
• Réponse du fournisseur : Confirmé, aucun correctif prévu
• CVE réservé : 2025
• Divulgation publique : [1 avr. 2026]