CVE-2021-42777

Stimulsoft Reports, cuando el Compilation Mode está habilitado, ejecutará código C# arbitrario embebido en un informe en cualquier máquina que lo renderice —la prueba es una llamada a System.Diagnostics.Process.Start—. En términos sencillos, un archivo de informe es un archivo de código: quienquiera que lo abra o lo renderice ejecuta el C# del atacante con los privilegios del proceso de renderizado, ya sea el servidor de la aplicación o la máquina local de un usuario final. El motor de informes trata la lógica de la plantilla como confiable, y esa confianza es la vulnerabilidad.

Esto es peligroso porque los informes circulan como documentos: se envían por correo, se comparten y se cargan desde repositorios por personas que los conciben como datos, no como ejecutables. La condición que lo habilita es que el Compilation Mode esté en uso, pero donde lo está, un informe malicioso es un vehículo de entrega limpio para la ejecución de código, y el renderizado del lado del servidor significa que una sola plantilla envenenada puede comprometer un backend compartido en lugar de un solo escritorio. Es un vector de estilo dirigido o de cadena de suministro más que de rastreo masivo, pero la recompensa —ejecución de código en servidor o estación de trabajo desde un archivo en el que la gente confía— es alta.

Nuestro énfasis es el estado de configuración y el límite de confianza alrededor de las fuentes de informes. Determinaríamos dónde se ejecuta el renderizado de Stimulsoft, si el Compilation Mode está habilitado y, críticamente, si informes de fuentes no confiables o suministradas por el usuario alguna vez llegan al renderizador; ese último punto es lo que convierte la función en un arma. Bloquear el renderizado a plantillas confiables y deshabilitar la compilación donde no se necesita es el control práctico; clasificamos las instancias según si informes de autoría externa pueden alcanzar un renderizador del lado del servidor, que es el peor caso.