Escalada de privilegios en MAAS a través de la manipulación de solicitudes Websocket

La explotación exitosa de esta vulnerabilidad permite a un atacante autenticado, que inicialmente no posee privilegios administrativos, obtener control total sobre el despliegue de MAAS. Esto incluye la capacidad de modificar la configuración del sistema, crear y eliminar máquinas virtuales, y acceder a datos sensibles. El impacto es significativo, ya que un atacante con privilegios de administrador puede comprometer la integridad y confidencialidad de todo el entorno MAAS. Esta vulnerabilidad se asemeja a escenarios de escalada de privilegios donde una validación de entrada deficiente permite a un usuario obtener acceso no autorizado a funciones administrativas.

Organizations heavily reliant on MAAS for server provisioning and management are particularly at risk. Environments with limited security controls or those using older MAAS versions are also more vulnerable. Shared hosting environments where multiple users share a single MAAS instance should be prioritized for patching.

• linux / server:

journalctl -u maas -g 'websocket handler' | grep -i 'user.update'

• linux / server:

ps aux | grep -i 'maas websocket handler' | grep -i 'user.update'

• linux / server:

find /var/log/maas/ -name '*.log' -print0 | xargs -0 grep -i 'is_superuser=true'

1. 2025-12-03Disclosure

   disclosure

1. Reservado2025-07-03
2. Publicada2025-12-03
3. EPSS actualizado2026-03-23

La solución definitiva es actualizar a la versión 3.8.1 de MAAS, que incluye la corrección para esta vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar medidas de mitigación temporales. Revise y restrinja el acceso a los websockets de usuario, limitando las direcciones IP que pueden acceder a ellos. Implemente reglas en un firewall de aplicaciones web (WAF) para detectar y bloquear solicitudes websocket sospechosas que intenten modificar la propiedad issuperuser. Monitoree los logs de MAAS en busca de intentos de auto-promoción y configure alertas para detectar actividades anómalas. Después de la actualización, confirme que la validación de entrada para la propiedad issuperuser se realiza correctamente.