Telerik UI Padding-Oracle Bug Chained to Unauthenticated RCE — Public Exploit Released

Vulnérabilité critique dans Telerik UI : Risque d’exécution de code à distance

Une chaîne d’exploits a été publiée, permettant à un attaquant non authentifié d’exécuter du code arbitraire sur des serveurs utilisant Telerik UI pour ASP.NET AJAX. Bien que des correctifs soient disponibles depuis juillet 2026, la diffusion publique d’un outil d’exploitation opérationnel accroît le risque pour les installations non mises à jour.

Points clés

• Conditions d’exploitation : L’attaque ne fonctionne pas sur une installation par défaut. Elle nécessite que le contrôle RadAsyncUpload soit utilisé et qu’une clé de chiffrement personnalisée non standard soit configurée.
• Méthodologie : L’attaque utilise un oracle de remplissage (padding oracle) pour déchiffrer et forger des données chiffrées, contournant ainsi le besoin de connaître la clé de chiffrement.
• Conséquences : Exécution de code avec les privilèges du pool d’applications IIS (RCE).
• Historique : Le composant RadAsyncUpload a été par le passé une cible récurrente pour des groupes cybercriminels et étatiques.

Vulnérabilités identifiées

• CVE-2026-13181 : Faille de résolution de type non sécurisée (Score CVSS : 8.1).
• CVE-2026-13182 : Vulnérabilité de type padding oracle sur le chiffrement AES-CBC.
• CVE-2026-13183 : Variantes de l’oracle de remplissage basées sur l’analyse temporelle (timing attack).
• CVE-2026-13184 : Problématique liée à une clé par défaut prévisible.

Recommandations

• Action prioritaire : Mettre à jour Telerik UI vers la version 2026.2.708 (2026 Q2 SP1) ou une version ultérieure. Le correctif remplace le chiffrement vulnérable par un schéma authentifié.
• Mesures palliatives (si la mise à jour est impossible) :
  • Désactiver le gestionnaire d’upload si celui-ci n’est pas requis (Telerik.Web.DisableAsyncUploadHandler à true).
  • Configurer customErrors sur RemoteOnly ou On pour compliquer l’exploitation via l’analyse temporelle.
  • Supprimer les clés de chiffrement personnalisées pour revenir aux mécanismes de sécurité natifs d’ASP.NET.
• Détection : Puisque l’exploitation laisse peu de traces, surveiller les comportements anormaux du processus w3wp.exe (ex: exécution de cmd.exe), l’apparition de nouveaux fichiers .aspx ou la création de DLL suspectes dans les dossiers temporaires.

Source