CVE-2026-44595 — Énumération non autorisée d'utilisateurs YAMCS via l'API IAM

Résumé

Les points de terminaison de l'API IAM (listUsers, getUser, listGroups, getGroup) dans yamcs-core n'appliquent pas la vérification requise SystemPrivilege.ControlAccess. Tout utilisateur authentifié — même sans aucun privilège — peut énumérer tous les comptes utilisateurs, le statut de superutilisateur et les appartenances aux groupes.

Détails de la vulnérabilité

Les points de terminaison suivants ne disposent pas de la vérification d'autorisation SystemPrivilege.ControlAccess :

• GET /api/iam/users — liste tous les utilisateurs
• GET /api/iam/users/{name} — obtient les détails d'un utilisateur
• GET /api/iam/groups — liste tous les groupes
• GET /api/iam/groups/{name} — obtient les détails d'un groupe

Un utilisateur à faibles privilèges peut appeler ces points de terminaison et récupérer tous les noms d'utilisateurs, les indicateurs de superutilisateur, les appartenances aux groupes et les informations du fournisseur d'identité.

Preuve de concept

pip install requests
python3 poc.py http://localhost:8090 testuser testpassword

Sortie attendue sur une instance vulnérable :

[2] Liste de TOUS les utilisateurs (point de terminaison IAM)...
    Statut : HTTP 200
    [!!!] VULNÉRABLE : 3 utilisateurs énumérés
    -> admin [SUPERUSER]
    -> operator [regular]
    -> testuser [regular]

Impact

Un attaquant disposant d'un compte valide peut cartographier toute la structure d'utilisateurs de l'instance YAMCS — identifier les comptes superutilisateurs pour des attaques ciblées, énumérer les comptes opérateurs et comprendre les contrôles d'accès basés sur les groupes.

Correctif

Mettre à niveau vers yamcs-core >= 5.12.7.

Chronologie

Chercheur

Daniel Miranda Barcelona (Excal1bur)

• GitHub : https://github.com/ex-cal1bur
• LinkedIn : https://linkedin.com/in/daniel-miranda-barcelona
• Blog : https://thedumpster.es