CVE-2022-34924

O Landray Office Automation expõe um endpoint, /sys/ui/extend/varkind/custom.jsp, que permite a um chamador não autenticado ler arquivos arbitrários no servidor. Sem credenciais, sem interação do usuário, apenas uma requisição que percorre o sistema de arquivos e devolve tudo o que o processo web consegue ler, o que tipicamente inclui configuração, credenciais e código-fonte da aplicação. É apenas confidencialidade, mas em uma plataforma de OA os arquivos que ela consegue alcançar são exatamente os que destravam o próximo passo.

Suítes chinesas de OA corporativo são um alvo predileto justamente porque concentram dados internos sensíveis e frequentemente ficam expostas à internet para o pessoal remoto. Leitura de arquivos não autenticada em um caminho JSP nomeado é trivialmente transformada em um comando de uma linha confiável, de modo que tende a circular em kits de varredura e ser incorporada a manuais de intrusão mais amplos, em vez de ser usada em ataques pontuais e chamativos. O espólio da leitura de arquivos de configuração muitas vezes se torna a credencial que habilita a execução de código autenticada mais tarde.

Como a requisição vulnerável tem como alvo um caminho específico, este é um forte candidato à detecção e ao patch virtual. Podemos escrever uma regra que bloqueie ou alerte sobre requisições àquele endpoint custom.jsp no proxy enquanto o patch subjacente é agendado, e caçar em logs históricos por acessos anteriores, já que a exploração bem-sucedida é silenciosa e deixa as requisições de leitura de arquivo como seu principal rastro.