CVE-2022-36120

Blue Prism Enterprise, versões 6.0 a 7.01

A vulnerabilidade permite que um usuário autenticado faça engenharia reversa do software e contorne os controles de acesso à função administrativa getChartData em um ambiente mal configurado que expõe o servidor de aplicativos Blue Prism. Usando uma conta de usuário Blue Prism com privilégios baixos ou sem privilégios, o invasor pode alterar as configurações do servidor abusando do método getChartData, permitindo que o servidor Blue Prism execute qualquer procedimento armazenado MSSQL por nome.

Para as versões 6.0 a 7.01 do Blue Prism Enterprise, considere restringir o acesso à função administrativa getChartData para evitar abusos e limitar a execução de procedimentos armazenados MSSQL.

Como solução alternativa temporária, considere desativar o método getChartData até que uma configuração adequada ou patch esteja disponível para impedir a contornagem dos controles de acesso.