K

Um locatário autenticado pode realizar Server-Side Request Forgery (SSRF) ao registrar um template que aponta para um arquivo metalink malicioso contendo alvos internos, permitindo que a VM de Armazenamento Secundário recupere e persista esses dados. Além disso, um locatário com a função de Usuário padrão pode obter Execução Remota de Código (RCE) como root no host do hipervisor KVM. Isso ocorre quando um usuário registra um template de VM com a variável `directDownload` definida como true e uma URL apontando para um arquivo .metalink; o servidor de gerenciamento busca o XML e despacha o download para o agente KVM sem revalidar as URLs internas contra a lista de permissões de esquema.

Quando o transporte TLS está habilitado sem exigir a autenticação de certificado do cliente, o `TlsTransportPlugin` atribui um principal de fallback (CN=ANONYMOUS) se nenhum certificado do cliente for apresentado ou se a verificação falhar. Isso ocorre porque a `SSLPeerUnverifiedException` é capturada e suprimida em vez de rejeitar a conexão. Esse comportamento de falha aberta permite que clientes não autenticados estabeleçam uma conexão TLS e recebam uma identidade de principal válida. Se o autorizador configurado, como o `SimpleACLAuthorizer`, não negar explicitamente o acesso ao CN=ANONYMOUS, isso pode resultar em acesso não autorizado aos serviços. Esta condição é registrada apenas no nível de depuração (debug), reduzindo a visibilidade em ambientes de produção.

Ocorre uma validação inadequada de certificado no Prometheus Reporter quando a configuração `storm.daemon.metrics.reporter.plugin.prometheus.skip tls validation` está habilitada. A classe `PrometheusPreparableReporter` utiliza um `INSECURE TRUST MANAGER` que aceita todos os certificados SSL sem validação, por meio de métodos `checkClientTrusted` e `checkServerTrusted` vazios. Quando a configuração mencionada está ativa, o `INSECURE CONNECTION FACTORY` executa `SSLContext.setDefault(sslContext)`, o que substitui o contexto SSL padrão de toda a Java Virtual Machine (JVM) em vez de limitar o contexto inseguro apenas à conexão do Prometheus. Consequentemente, todas as comunicações HTTPS no processo — incluindo conexões ZooKeeper, Thrift, Netty e UI — confiam em todos os certificados, inclusive os autoassinados ou gerados por atacantes, permitindo a interceptação man-in-the-middle de credenciais administrativas, submissões de topologia, estado do cluster e dados de tuplas.

O componente de visualização da Storm UI interpola metadados de topologia, como IDs de componentes, nomes de fluxos e valores de agrupamento, diretamente no HTML via innerHTML nas funções `parseNode()` e `parseEdge()` sem sanitização. Um usuário autenticado com direitos de submissão de topologia pode criar uma topologia contendo HTML ou JavaScript malicioso em identificadores de componentes. Esse payload é transmitido através do Nimbus, Thrift e da API de Visualização para a renderização de tooltips do vis.js, resultando em cross-site scripting armazenado. Em implantações multi-tenant, isso pode permitir a escalada de privilégios se a interface for acessada por operadores ou administradores.

O problema está relacionado a uma expressão regular incorreta na função `parseHTML` do Vue, o que pode levar a uma vulnerabilidade potencial de negação de serviço por expressão regular. Essa falha, conhecida como ReDoS (Regular expression Denial of Service), permite que invasores retardem o aplicativo fornecendo entradas especialmente criadas que causam um processamento ineficiente de expressões regulares, levando a um consumo excessivo de recursos. Em um aplicativo Vue do lado do cliente, essa vulnerabilidade pode ser explorada criando-se uma nova instância do Vue com uma string de modelo que inclua uma tag `<script>`, mas a feche incorretamente. O tempo necessário para analisar e montar o aplicativo Vue aumenta significativamente devido à vulnerabilidade ReDoS, demonstrando como a falha pode afetar o desempenho.

Foi identificada uma vulnerabilidade no Bootstrap que expõe os usuários a ataques de Cross-Site Scripting (XSS). O problema está presente no componente carousel, onde os atributos `data-slide` e `data-slide-to` podem ser explorados por meio do atributo `href` de uma tag <a> devido a uma sanitização inadequada. Isso poderia permitir que invasores executassem código JavaScript arbitrário no navegador da vítima.

Foi descoberta uma falha de segurança que poderia permitir ataques de Cross-Site Scripting (XSS). A vulnerabilidade está associada ao atributo `data-loading-text` no plugin do botão. Ela pode ser explorada pela injeção de código JavaScript malicioso no atributo, que seria executado quando o estado de carregamento do botão fosse acionado.

Foi identificada uma vulnerabilidade no Bootstrap que expõe os usuários a ataques de Cross-Site Scripting (XSS). O problema está presente no componente carousel, onde os atributos `data-slide` e `data-slide-to` podem ser explorados por meio do atributo href de uma tag `<a>` devido a uma sanitização inadequada. Isso poderia permitir que invasores executassem código JavaScript arbitrário no navegador da vítima.

A vulnerabilidade permite que invasores remotos contornem a autenticação e façam login no produto com privilégios administrativos. Os vetores exatos utilizados para o ataque não foram especificados.