Várias falhas de segurança não corrigidas foram reveladas em ofertas de código aberto e freemium Document Management System (DMS) de quatro fornecedores LogicalDOC, Mayan, ONLYOFFICE, e OpenKM.
A empresa Cybersecurity Rapid7 disse que as oito vulnerabilidades oferecem um mecanismo através do qual “um atacante pode convencer um operador humano a salvar um documento malicioso na plataforma e, uma vez o documento indexado e activado pelo utilizador, dando ao atacante múltiplos caminhos para controlar a organização”.
A lista de oito guiões cruzados (XSS) falhas, descobertas pelo investigador da Rapid7 Matthew Kienow, são as seguintes –
- CVE-2022-47412 – Pesquisa de espaço de trabalho ONLYOFFICE Armazenado XSS
- CVE-2022-47413 e CVE-2022-47414 – OpenKM Documento e Aplicação XSS
- CVE-2022-47415, CVE-2022-47416, CVE-2022-47417, e CVE-2022-47418 – LogicalDOC Múltiplos XSS Armazenados
- CVE-2022-47419 – Tag Tag EDMS Maia Armazenado XSS
O XSS armazenado, também conhecido como XSS persistente, ocorre quando um script malicioso é injectado directamente numa aplicação web vulnerável (por exemplo, através de um campo de comentários), fazendo com que o código malicioso seja activado em cada visita à aplicação.
Um actor ameaçador pode explorar as falhas acima mencionadas fornecendo um documento de engodo, concedendo ao interloper a capacidade de promover o seu controlo sobre a rede comprometida,
“Um padrão de ataque típico seria roubar o cookie de sessão com o qual um administrador local é autenticado, e reutilizar esse cookie de sessão para se fazer passar por esse utilizador para criar uma nova conta privilegiada”, Tod Beardsley, director de pesquisa da Rapid7, disse.
Num cenário alternativo, o agressor poderia abusar da identidade da vítima para injectar comandos arbitrários e obter acesso furtivo aos documentos armazenados.
A empresa de cibersegurança notou que as falhas foram comunicadas aos respectivos vendedores a 1 de Dezembro de 2022, e continuam por corrigir apesar de coordenar as divulgações com o Centro de Coordenação CERT (CERT/CC).
Os utilizadores do DMS afectado são aconselhados a proceder com cautela ao importar documentos de fontes desconhecidas ou não confiáveis, bem como a limitar a criação de utilizadores anónimos e não confiáveis e a restringir certas características tais como conversas e marcação a utilizadores conhecidos.