Adam Nurudini

Existe um problema na função `searchQueryBuilder()` de `UtmAssetGroupService` onde atacantes autenticados podem injetar SQL arbitrário. Isso ocorre porque as variáveis `assetType` e `groupName` são inseridas sem sanitização em uma consulta nativa do PostgreSQL via `String.format()`. A exploração do endpoint GET '/api/utm-asset-groups/searchGroupsByFilter' permite a execução de SQL arbitrário com privilégios de DBA, o que pode levar à leitura total do banco de dados, modificação de dados e potencial acesso ao sistema de arquivos.

Um invasor autenticado pode desencadear uma falsificação de solicitação do lado do servidor (SSRF) ao fornecer uma URL de metadados maliciosa para o endpoint `POST/PUT /api/identity-providers`. Isso ocorre porque a função `IdentityProviderService.validateMetadataUrl()` não valida o host, IP ou esquema de destino. Essa falha permite que o servidor envie solicitações para hosts de metadados internos ou em nuvem arbitrários, possibilitando a varredura de portas de rede interna e o acesso não autorizado a serviços de metadados de instâncias em nuvem.

Uma falha de autorização existe na função `UTMIncidentCommandWebsocket.processCommand()`, que gerencia o destino STOMP '/command/{hostname}'. O sistema não realiza verificações de função nem aplica uma lista de permissões de comandos antes do encaminhamento das instruções. Consequentemente, qualquer usuário autenticado pode enviar comandos arbitrários do sistema operacional via gRPC para qualquer agente conectado, resultando na execução de comandos em endpoints monitorados onde os processos do agente geralmente operam com privilégios de root ou SYSTEM.

Existe uma falha de bypass de autenticação que permite que atacantes remotos obtenham acesso administrativo total à API. Isso ocorre porque o `InternalApiKeyFilter` aceita um cabeçalho `Utm-Internal-Key` válido que corresponda ao valor da variável de ambiente `INTERNAL KEY` para qualquer endpoint. A implementação carece de restrições de caminho, comparação de tempo constante, limitação de taxa e registro de auditoria. Atacantes que possuam essa chave podem autenticar-se sem a necessidade de uma conta de usuário ou JSON Web Tokens (JWT) para criar contas, gerenciar usuários, exfiltrar dados e modificar regras de segurança.

Um problema de enumeração de contas existe que permite que atacantes não autenticados identifiquem endereços de e-mail registrados. Ao enviar solicitações para o endpoint 'POST /api/account/reset-password/init', atacantes podem distinguir entre contas registradas e não registradas com base na resposta HTTP. Contas registradas retornam uma resposta 200 OK, enquanto contas não registradas disparam um erro 500 Internal Server Error contendo detalhes do backend. Essas informações podem ser usadas para facilitar ataques de phishing direcionados ou ataques de credenciais.

Atacantes autenticados podem realizar um server-side request forgery (SSRF), uma falha na qual o servidor é enganado para fazer requisições a um local não pretendido. Ao fornecer um parâmetro `url` não validado para a função `downloadPdf()` dentro do `PdfService`, exposta através do endpoint GET '/api/generate-pdf-report', atacantes podem forçar o microsserviço web-pdf a acessar endpoints internos de backend, o cluster OpenSearch ou o serviço de metadados de instância na nuvem. Isso permite que dados internos sensíveis sejam recuperados e renderizados no arquivo PDF resultante.

Atacantes autenticados podem ler dados arbitrários de entidades explorando uma falha de injeção de JPQL. A vulnerabilidade reside na função `UtmNetworkScanService.searchPropertyValues()`, que constrói uma consulta JPQL usando `String.format()` e a executa via `em.createQuery()` sem a vinculação adequada de parâmetros. Ao enviar JPQL malicioso através do parâmetro `value` no endpoint 'GET /api/utm-network-scans/searchPropertyValues', atacantes podem extrair informações sensíveis, incluindo tabelas de credenciais como `jhi user`. JPQL (Java Persistence Query Language) é uma linguagem de consulta orientada a objetos usada para realizar operações de banco de dados em entidades.

Usuários autenticados podem alcançar a execução remota de código ao fazer o upload de um arquivo PHP contendo bytes mágicos de imagem válidos através do endpoint de upload de fotos. A função `FileUpload::manageFile()` em `fileupload.class.php` falha ao atualizar a extensão do arquivo após a validação de MIME. Isso permite que uma extensão `.php` controlada pelo atacante permaneça no disco e seja executada como PHP via PHP-FPM quando o arquivo for recuperado.

Usuários autenticados podem extrair dados arbitrários do banco de dados por meio de uma injeção SQL cega. Isso ocorre quando o parâmetro `check photo` é enviado como um array, ignorando a função de sanitização `clean requests()` em ClipBucket.class.php. Elementos de array não sanitizados são passados através do manipulador de exclusão em massa no endpoint 'manage photos.php' para a função `photo exists()` em photos.class.php, onde valores não numéricos são interpolados diretamente em uma consulta SQL. Isso permite a injeção SQL cega baseada em tempo, uma técnica que infere dados observando o tempo que o servidor leva para responder a consultas específicas, para recuperar hashes de credenciais e outras informações sensíveis.

Usuários autenticados podem extrair conteúdos arbitrários do banco de dados, incluindo hashes de credenciais de usuário e endereços de e-mail, por meio de uma injeção SQL cega baseada em tempo. Isso ocorre quando o parâmetro `msg id` é enviado como um array para ignorar a função de sanitização `clean requests()` em ClipBucket.class.php. Os elementos do array não sanitizados são passados através do manipulador de exclusão em 'private message.php' para a função `cb pm::delete msg()`, que interpola o ID da mensagem não escapado diretamente em uma string de consulta SQL.

O instalador web falha ao validar ou escapar adequadamente o parâmetro `php cli filepath` antes de passá-lo para a execução de shell. Isso permite que atacantes não autenticados enviem uma requisição POST manipulada ao instalador com um valor malicioso na variável `php cli filepath` para executar comandos arbitrários como o usuário do servidor web.

Usuários autenticados podem ler arquivos arbitrários ao fornecer nomes de arquivos manipulados contendo sequências de travessia de diretório no endpoint de download de exportação. Ao manipular o parâmetro `filename`, um invasor pode escapar do diretório de exportação pretendido e acessar arquivos fora dele que sejam legíveis pelo processo da aplicação. Path traversal é uma técnica usada para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web.

Existe uma falha de bypass de autenticação devido a uma chamada duplicada de `Auth::routes()` no arquivo `routes/web.php`, que reabilita inadvertidamente o endpoint `POST /register` após este ter sido desativado. Isso permite que atacantes não autenticados realizem o auto-registro de contas. Como o controlador de registro não atribui uma função específica e a coluna `users.role` possui o valor padrão Admin, as contas recém-criadas recebem privilégios totais de Administrador. Isso pode levar ao acesso não autorizado a credenciais de dispositivos armazenadas, dados de usuários e à emissão de tokens de API.

Atacantes autenticados podem ler arquivos arbitrários ao fornecer sequências de travessia de diretório não sanitizadas no parâmetro GET `filename` do método `download export()`. Ao utilizar sequências `../`, um atacante pode escapar do diretório base de exportações para acessar arquivos sensíveis legíveis pelo processo do servidor web, como arquivos de ambiente da aplicação contendo credenciais de banco de dados, chaves de criptografia e configuração de e-mail.