Mattia Campanelli

Existe um problema de autorização inadequada onde qualquer usuário autenticado pode rejeitar revisões de edição pendentes arbitrárias. Isso ocorre porque o sistema carece de uma verificação de autorização durante a operação de rejeição, permitindo que usuários realizem essa ação sem as permissões de revisão necessárias.

A falha permite vulnerabilidades de injeção de SQL no endpoint “dwr/call/plaincall/workflow.runWorkflowRule.dwr”. Por meio da injeção de instruções SQL arbitrárias, um possível invasor pode modificar a sintaxe da consulta e realizar operações não autorizadas no banco de dados remoto.

Foi detectada uma vulnerabilidade de cross-site scripting (XSS). O aplicativo web não verifica adequadamente os parâmetros enviados em uma solicitação POST “/dvcset/sysset/set.cgi” através do campo `arg01.Hostname` antes de salvá-los no servidor. O conteúdo malicioso em JavaScript é então refletido de volta para o usuário final e executado pelo navegador web.

O aplicativo web está afetado por uma vulnerabilidade de negação de serviço. Um invasor não autenticado pode enviar solicitações POST para a página “/download/set.cgi” manipulando a variável `failhtmfile`, causando a interrupção do serviço prestado pelo aplicativo web.

**Nome do software vulnerável e versões afetadas: Versões do Thruk anteriores à 2.44 Descrição: A vulnerabilidade permite XSS armazenado, possibilitando que invasores injetem scripts maliciosos na aplicação. Isso pode levar ao acesso não autorizado ou ao controle das sessões dos usuários. Recomendações: Para versões anteriores à 2.44, atualize para a versão 2.44 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a recursos confidenciais ou campos de entrada para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões do Thruk 2.40 a 2 Descrição: A vulnerabilidade permite um ataque XSS refletido por meio dos parâmetros `host` ou `title` no endpoint “/thruk/#cgi-bin/status.cgi”. Um invasor poderia injetar código JavaScript arbitrário no status.cgi, que seria executado sempre que um usuário autenticado acessasse a página que o contém. Recomendações: Para as versões 2.40 a 2 do Thruk, como solução temporária, considere restringir o acesso ao endpoint “/thruk/#cgi-bin/status.cgi” até que um patch esteja disponível. Evite usar os parâmetros `host` ou `title` neste endpoint para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

**Nome do software vulnerável e versões afetadas: Thruk versões 2.40-2 Descrição: A vulnerabilidade permite um ataque XSS refletido por meio do parâmetro `host` ou `service` no endpoint da API `/thruk/#cgi-bin/extinfo.cgi`. Um invasor poderia injetar código JavaScript arbitrário no extinfo.cgi, e a carga maliciosa seria acionada sempre que um usuário autenticado navegasse na página que o contém. Recomendações: Para as versões 2.40-2 do Thruk, considere desativar o acesso ao endpoint da API `/thruk/#cgi-bin/extinfo.cgi` até que uma correção esteja disponível. Restrinja o uso dos parâmetros `host` e `service` para minimizar o risco de exploração.

O problema ocorre no endpoint /archibus/dwr/call/plaincall/workflow.runWorkflowRule.dwr porque os dados recebidos como entrada dos clientes são reincluídos na resposta HTTP retornada pelo aplicativo sem validação adequada. Se código HTML ou código executável do lado do cliente (por exemplo, Javascript) for inserido como entrada, o fluxo de execução esperado poderá ser alterado.

O problema decorre da falha do software em validar adequadamente as solicitações de acesso a dados e funcionalidades em vários pontos de extremidade afetados: "/ archibus/schema/ab-edit-users.axvw“, ”/archibus/schema/ab-data-dictionary-table.axvw“, ”/archibus/schema/ab-schema-add-field.axvw“ e ”/archibus/schema/ab-core/views/process-navigator/ab-my-user-profile.axvw". Isso permite que qualquer usuário autenticado acesse páginas não destinadas a ele, incluindo o console administrativo para gerenciamento de usuários, solicitando acesso diretamente via URL. Um usuário mal-intencionado pode explorar isso para modificar os perfis de todos os usuários, elevar privilégios a níveis administrativos, criar ou excluir qualquer tipo de usuário e até mesmo modificar os e-mails de outros usuários por meio de uma configuração incorreta do parâmetro `username` na página de perfil do usuário.

O problema decorre da aplicação web em /archibus/login.axvw, onde poderia ser atribuído um token de sessão que já estivesse em uso por outro usuário. Isso permitia o acesso à aplicação sem conhecer as credenciais do usuário. Também era possível definir o valor do token de sessão no lado do cliente, fazendo uma solicitação GET não autenticada à página inicial e adicionando um valor arbitrário ao campo `JSESSIONID`. O aplicativo não atribuía um novo token após o login, continuando a usar o inserido como identificador de sessão. Esta vulnerabilidade afeta apenas produtos que não são mais suportados pelo mantenedor.