CVE-2025-29556 – Bypass della Creazione dell'Account Security Officer su ExaGrid

📝 Panoramica

Titolo della Vulnerabilità: Creazione non autorizzata di un account Security Officer
Prodotto: ExaGrid EX10 Backup Appliance Versione Affetta: Testata sulla versione corrente al momento della divulgazione
Versioni Affette: 6.3 – 7.0.1.P08 CVE ID: CVE-2025-29556
Gravità: Alta
Vettore di Attacco: Accesso autenticato a bassi privilegi
Impatto: Escalation di privilegi al ruolo di Security Officer

🧨 Descrizione

Questa proof-of-concept (PoC) dimostra una grave falla nell'API di ExaGrid che consente a una sessione a bassi privilegi o dirottata di creare account Security Officer senza una corretta convalida o autorizzazione. L'attaccante deve possedere un cookie JSESSIONIDSSO valido e l'site UUID.

La vulnerabilità abilita l'escalation dei privilegi e il controllo amministrativo completo su operazioni di backup, creazione utenti, impostazioni di crittografia e altro.

🚀 Utilizzo

⚙️ Prerequisiti

• Python 3.x
• Libreria requests (pip install requests)
• Valid:
  • Cookie JSESSIONIDSSO
  • site UUID

📌 Comando

python3 create_security_officer.py --url 10.0.0.5 --cookie YOUR_JSESSIONIDSSO --uuid YOUR_SITE_UUID

Aggiungi --debug per vedere la risposta grezza:

python3 create_security_officer.py --url 10.0.0.5 --cookie abc123def456 --uuid a1b2c3d4 --debug

🧾 Cosa Fa

• Invia una richiesta POST all'endpoint /api/v1/sites/{uuid}/users
• Ignora i controlli previsti e crea un nuovo utente:
  • Username: Security_Officer_BYPASSED
  • Group: exagrid-sec-offs
  • Password: codificata in base64 (esempio: XTNhXmJeKHo/P0hdTSY=)

🔐 Impatto

• Ignora i controlli di accesso relativi alla creazione dell'account Security Officer
• Concede l'accesso al livello più alto all'interno dell'appliance di backup
• Può portare a manipolazione dei backup, manomissione delle policy e accesso a dati sensibili

🛡️ Mitigazione

• Applicare la patch quando sarà disponibile una correzione da ExaGrid
• Monitorare la presenza di utenti inaspettati nel gruppo exagrid-sec-offs
• Invalidare sessioni sospette o scadute
• Limitare l'accesso alle interfacce di gestione interne

👨‍💻 Autore

Ricercatore di Sicurezza – Kevin Suckiel -- 0xsu3ks PoC per CVE-2025-29556 divulgata attraverso canali responsabili.

⚠️ Avviso Legale

Questo strumento è destinato esclusivamente a test autorizzati e scopi di ricerca. L'autore non si assume alcuna responsabilità per uso improprio o danni causati da questo codice.