CVE-2026-44595 — Enumerazione non autorizzata di utenti YAMCS tramite API IAM

Riepilogo

Gli endpoint dell'API IAM (listUsers, getUser, listGroups, getGroup) in yamcs-core non applicano il controllo SystemPrivilege.ControlAccess richiesto. Qualsiasi utente autenticato, anche senza privilegi, può elencare tutti gli account utente, lo stato di superutente e le appartenenze ai gruppi.

Dettagli della vulnerabilità

I seguenti endpoint non hanno il controllo di autorizzazione SystemPrivilege.ControlAccess:

• GET /api/iam/users — elenca tutti gli utenti
• GET /api/iam/users/{name} — ottiene i dettagli dell'utente
• GET /api/iam/groups — elenca tutti i gruppi
• GET /api/iam/groups/{name} — ottiene i dettagli del gruppo

Un utente con privilegi bassi può chiamare questi endpoint e recuperare tutti i nomi utente, i flag di superutente, le appartenenze ai gruppi e le informazioni sul provider di identità.

Prova di concetto

pip install requests
python3 poc.py http://localhost:8090 testuser testpassword

Output previsto su un'istanza vulnerabile:

[2] Listing ALL users (IAM endpoint)...
    Status: HTTP 200
    [!!!] VULNERABLE: 3 users enumerated
    -> admin [SUPERUSER]
    -> operator [regular]
    -> testuser [regular]

Impatto

Un attaccante con un account valido può mappare l'intera struttura utente dell'istanza YAMCS — identificare account superutente per attacchi mirati, enumerare account operator e comprendere i controlli di accesso basati sui gruppi.

Correzione

Aggiornare a yamcs-core >= 5.12.7.

Cronologia

Ricercatore

Daniel Miranda Barcelona (Excal1bur)

• GitHub: https://github.com/ex-cal1bur
• LinkedIn: https://linkedin.com/in/daniel-miranda-barcelona
• Blog: https://thedumpster.es