Um grave defeito de segurança foi revelado na ferramenta de limpeza e transformação de dados de código aberto OpenRefine que pode resultar na execução de código arbitrário nos sistemas afetados.
Rastreado como
CVE-2023-37476
(pontuação CVSS: 7.8), a vulnerabilidade é uma falha do tipo Zip Slip que pode ter impactos adversos ao importar um projeto especialmente criado nas versões 3.7.3 e anteriores.
"Embora o OpenRefine seja projetado para funcionar apenas localmente em uma máquina do usuário, um invasor pode enganar um usuário para importar um arquivo de projeto malicioso", disse o pesquisador de segurança da Sonar, Stefan Schiller, em um relatório publicado na semana passada.
"Uma vez que este arquivo é importado, o invasor pode executar código arbitrário na máquina do usuário."
Softwares sujeitos a vulnerabilidades do tipo Zip Slip podem abrir o caminho para a execução de código, aproveitando-se de um bug de travessia de diretório que um invasor pode explorar para ganhar acesso a partes do sistema de arquivos que deveriam ser inacessíveis.
O ataque é construído em duas partes móveis: um arquivo malicioso e código de extração que não realiza a verificação de validação adequada, o que pode permitir a substituição de arquivos ou sua descompactação em locais não intencionais.
Os arquivos extraídos podem ser invocados remotamente pelo adversário ou pelo sistema (ou usuário), resultando na execução de comandos na máquina da vítima.
A vulnerabilidade identificada no OpenRefine segue linhas semelhantes, pois o método "untar" para extrair os arquivos do arquivo permite que um mau ator escreva arquivos fora da pasta de destino, criando um arquivo com um arquivo chamado "../../../../tmp/pwned."
Após a divulgação responsável em 7 de julho de 2023, a vulnerabilidade foi corrigida na versão 3.7.4 lançada em 17 de julho de 2023.
"A vulnerabilidade dá aos invasores uma forte primitiva: escrever arquivos com conteúdo arbitrário em um local arbitrário no sistema de arquivos", disse Schiller.
"Para aplicações que funcionam com privilégios de root, há dezenas de possibilidades para transformar isso em execução de código arbitrário no sistema operacional: adicionar um novo usuário ao arquivo passwd, adicionar uma chave SSH, criar um trabalho cron, e mais."
A revelação surge como prova de conceito (PoC) de código de exploração para um par de falhas agora corrigidas no Microsoft SharePoint Server -
CVE-2023-29357
(pontuação CVSS: 9.8) e
CVE-2023-24955
(pontuação CVSS: 7.2) - que poderiam ser encadeadas para alcançar a escalada de privilégios e execução remota de código.
Também segue um alerta da Cyfirma sobre um bug de alta gravidade no Apache NiFi (
CVE-2023-34468
, pontuação CVSS: 8.8) que permite a execução de código remoto via strings de conexão de banco de dados H2 maliciosas.
Foi resolvido no Apache NiFi 1.22.0.
"O impacto desta vulnerabilidade é grave, pois concede aos invasores a capacidade de ganhar acesso não autorizado aos sistemas, exfiltrar dados sensíveis e executar código malicioso remotamente", disse a empresa de segurança cibernética.
"Um invasor poderia explorar essa falha para comprometer a integridade dos dados, interromper operações e potencialmente causar danos financeiros e de reputação."
Publicidade
O mais completo curso de Pentest e Hacking existente no Brasil, ministrado por instrutores de referência no mercado. Oferece embasamento sólido em computação, redes, Linux e programação. Passe por todas as fases de um Pentest utilizando ambientes realísticos. Se prepare para o mercado através da certificação SYCP. Saiba mais...