Sho-Luv

**Nome do Software Vulnerável e Versões Afetadas** Versões do osctrl anteriores à 0.5.0 **Descrição** O osctrl é uma solução de gerenciamento para o osquery. Existe uma vulnerabilidade de injeção de comando na configuração de ambiente do `osctrl-admin` em versões anteriores à 0.5.0. Um administrador autenticado pode injetar comandos de shell arbitrários através do parâmetro `hostname` ao criar ou editar ambientes. Esses comandos são incorporados aos scripts de enrollment gerados utilizando o pacote `text/template` do Go, o qual não realiza o escape de shell, e são executados em cada endpoint que se registra utilizando o ambiente comprometido. Um atacante com acesso de administrador pode obter execução remota de código em cada endpoint que se registra utilizando o ambiente comprometido. Os comandos são executados como root/SYSTEM antes da instalação do osquery, não deixando nenhum rastro de auditoria no nível do agente. Isso possibilita a instalação de backdoors, a exfiltração de credenciais e o comprometimento total do endpoint. O **endpoint da API** utilizado para configuração de ambiente está dentro da interface `osctrl-admin`. O parâmetro vulnerável é `hostname`. **Recomendações** Restrinja o acesso de administrador do osctrl apenas a pessoal confiável. Revise as configurações de ambiente existentes em busca de hostnames suspeitos. Monitore os scripts de enrollment em busca de comandos inesperados.

**Nome do Software Vulnerável e Versões Afetadas** Versões do osctrl anteriores a 0.5.0 **Descrição** O osctrl é uma solução de gerenciamento do osquery. Existe uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado na lista de consultas sob demanda do `osctrl-admin`. Um usuário com permissões de nível de consulta pode injetar JavaScript arbitrário através do parâmetro de consulta ao executar uma consulta sob demanda. O payload é armazenado e executado no navegador de qualquer usuário, incluindo administradores, que acessa a página da lista de consultas. Isso pode ser combinado com a extração de tokens de Cross-Site Request Forgery (CSRF) para escalar privilégios e realizar ações como o usuário conectado. Um atacante com permissões de nível de consulta pode executar JavaScript arbitrário nos navegadores de todos os usuários que visualizam a lista de consultas, potencialmente levando ao comprometimento total da plataforma se um administrador executar o payload. **Recomendações** Restrinja as permissões de nível de consulta a usuários confiáveis. Monitore a lista de consultas em busca de payloads suspeitos. Verifique as contas de usuário do osctrl em busca de administradores não autorizados.