Alibaba Cloud: hostname metadata reveals instance ID used as initial password

[jorikfon]

Description

English Description

Bug: On Alibaba Cloud instances, the hostname returned by the metadata service is essentially the instance ID with minor formatting (iZ...Z instead of i-...). Since MikoPBX uses the instance ID as the initial web admin password (by design — to prevent bots from compromising the system with default admin/admin credentials), displaying the hostname on the login page effectively reveals the password.

Context

MikoPBX intentionally uses the cloud instance ID as the initial web admin password instead of a default admin/admin. This is a deliberate design choice — bots and scanners were compromising freshly deployed systems before users could log in. The instance ID provides a unique per-instance credential that only the owner should know.

The problem is specific to Alibaba Cloud: its metadata service returns the instance ID as the hostname with trivial formatting differences (iZ8ps5b2pvynwvr61wyhdsZ vs i-8ps5b2pvynwvr61wyhds). On other cloud providers (AWS, GCE, Azure, etc.), the hostname is typically a user-assigned name unrelated to the instance ID.

Current Behavior

In src/Core/System/CloudProvisioning/AlibabaCloud.php:

$hostname = $metadata['hostname'] ?? '';   // Returns: iZ8ps5b2pvynwvr61wyhdsZ
$instanceId = $metadata['instance-id'];    // Returns: i-8ps5b2pvynwvr61wyhds

$config = new ProvisioningConfig(
    hostname: $hostname,        // Displayed on login page as PBX name
    webPassword: $instanceId    // Used as initial password
);

The login page shows:

• PBX name: iZ8ps5b2pvynwvr61wyhdsZ (= instance ID with Z wrapper)
• Hint: "Default password equals the unique identifier of the virtual machine in the cloud"

Password is trivially derived: replace first Z → -, remove trailing Z.

Expected Behavior

The hostname displayed on the login page should not reveal the instance ID. When the Alibaba Cloud hostname matches the instance ID pattern (/^iZ.*Z$/), use a generic name like MikoPBX instead.

---

Русское описание

Баг: На инстансах Alibaba Cloud hostname, возвращаемый сервисом метаданных, фактически является ID инстанса с минимальным форматированием (iZ...Z вместо i-...). Поскольку MikoPBX использует ID инстанса как начальный пароль веб-админки (это сделано намеренно — чтобы боты не ломали систему с дефолтным admin/admin), отображение hostname на странице входа фактически раскрывает пароль.

Контекст

MikoPBX намеренно использует ID облачного инстанса как начальный пароль вместо дефолтного admin/admin. Это осознанное решение — раньше боты и сканеры компрометировали свежеустановленные системы быстрее, чем пользователь успевал войти. ID инстанса обеспечивает уникальный пароль, который должен знать только владелец.

Проблема специфична для Alibaba Cloud: его сервис метаданных возвращает ID инстанса в качестве hostname с тривиальными отличиями в форматировании (iZ8ps5b2pvynwvr61wyhdsZ vs i-8ps5b2pvynwvr61wyhds). На других облаках hostname обычно не связан с instance ID.

Текущее поведение

На странице авторизации отображается:

• Имя АТС: iZ8ps5b2pvynwvr61wyhdsZ (= instance ID с обёрткой Z)
• Подсказка: "Default password equals the unique identifier of the virtual machine in the cloud"

Пароль тривиально получается из отображаемого имени: заменить первую Z на -, убрать последнюю Z.

Ожидаемое поведение

Hostname на странице входа не должен раскрывать instance ID. Если hostname из Alibaba Cloud совпадает с паттерном instance ID (/^iZ.*Z$/), использовать общее имя, например MikoPBX.

[miko-service-bot]

Триаж — status on develop (analysis-only, PR не открываю)

Статус

Не исправлено в develop. Проверил src/Core/System/CloudProvisioning/AlibabaCloud.php на текущей ветке:

// AlibabaCloud.php:82-93 (develop)
$hostname = $metadata['hostname'] ?? '';
$instanceId = $metadata['instance-id'];
…
$config = new ProvisioningConfig(
    hostname: $hostname,        // ← passed as-is → shown on login page
    …
    instanceId: $instanceId,
    webPassword: $instanceId    // ← trivially derived from hostname
);

Пары (hostname, webPassword) вычислимы одна из другой (iZ<...>Z ↔ i-<...>). Публичный доступ к странице авторизации + PbxSettings::PBX_NAME на этой странице = раскрытие пароля.

Последние коммиты по файлу (cb9fb769 от 2025-12-06, «unified cloud provisioning with user-data support») переделали архитектуру, но конкретно эту утечку не тронули — паттерн Alibaba instance-id-как-hostname через изменение не проходил.

Атакующий сценарий (репро)

1. Развернуть свежий MikoPBX ECS в Alibaba Cloud, дать ему получить публичный IP (типовая конфигурация).
2. Открыть https://<public-ip>/admin-cabinet/session/index — увидеть отображаемый hostname (в шапке страницы: iZ8ps5b2pvynwvr61wyhdsZ).
3. Логин: admin; пароль: substr(hostname, 1, -1) с заменой первой Z → - → i-8ps5b2pvynwvr61wyhds.
4. Доступ до того, как владелец успел войти и сменить пароль.

Уязвимо только окно между provisioning и первым логином/сменой пароля владельца, но это и есть та же ниша, для защиты которой ID-как-пароль изначально был введён.

Test coverage

• tests/Core/System/CloudProvisioning/AlibabaCloud* — не существует (grep по path:tests AlibabaCloud возвращает 0). Есть общий ProvisioningConfigTest.php, но он не покрывает per-provider hostname-масcinг. Label no-tests для этой области.
• Не покрыт также аналогичный кейс для других провайдеров, где IMDS может отдавать instance-id как hostname (AWS EC2 — ip-10-0-0-1.ec2.internal; тоже вычислим, но проще — там hostname ≠ webPassword по факту).

Рекомендация по исправлению

Фикс — точечный, ~5 строк в AlibabaCloud::provision(). Согласно acceptance-critera репортёра:

// Reject Alibaba instance-id-shaped hostnames — they reveal webPassword.
if ($hostname === '' || preg_match('/^iZ[A-Za-z0-9]+Z$/', $hostname)) {
    $hostname = 'MikoPBX';
}

Дополнительно (defense-in-depth, вне scope):

• Отдельная константа ProvisioningConfig::DEFAULT_HOSTNAME — не хардкодить строку в каждом провайдере.
• Пометить в syslog SystemMessages::sysLogMsg(__CLASS__, "Alibaba IMDS hostname suppressed to avoid webPassword disclosure", LOG_INFO) для операторов, которые захотят понять, почему hostname не совпадает с IMDS.
• Прогнать тот же паттерн-чек для user-data override: если пользователь через cloud-init явно задал instance-id-подобное имя — уважать выбор (это его данные), не подменять.

Severity

High — до первой смены пароля любой сетевой доступ к login-странице = full admin. Публичный IP в облаке по дефолту доступен. Мitigacia на стороне пользователя: закрыть порт 80/443 SG до первого логина — но это не то, что MikoPBX может гарантировать.

Метки

bug, security, area:cloud-provisioning, area:alibaba, no-tests, code-analysis-only, severity:high, repro-confirmed.

Рекомендация

ready-for-maintainer-review — фикс изолированный, риск регрессий минимальный (только Alibaba путь), тесты требуют создания нового AlibabaCloudTest.php с фикстурой IMDS-ответа.

---

Generated by Claude Code