CVE-2024-22722

O Form Tools armazena seus templates de uma forma que trata o campo Group Name como executável em vez de texto, de modo que uma string digitada na tela de adição de formulários acaba avaliada pelo mecanismo de templates em vez de exibida. O resultado prático é execução de comandos no host, mas o detalhe está em quem consegue alcançar esse campo: isso fica atrás de uma área autenticada e de alto privilégio da aplicação, então o atacante já precisa de acesso administrativo para acioná-lo.

Essa pré-condição muda o quanto devemos nos preocupar. Não é algo que uma botnet de varredura em massa dispara com um clique pela internet; é um admin-to-RCE, o tipo de coisa que importa mais como escalonamento pós-comprometimento ou quando um operador legítimo se torna malicioso. Onde de fato incomoda é em qualquer instalação do Form Tools em que 'admin' seja concedido de forma frouxa ou compartilhada, porque o salto dessa conta para shell na máquina se torna trivial.

Tratamos este caso conforme seu gatilho real, e não conforme o 7.2. Nossa primeira pergunta é quais instâncias do Form Tools expostas à internet realmente operamos e, dessas, o quão bem escopado e monitorado está o papel administrativo. Se o acesso admin já é bem controlado, isso fica abaixo da nota; se temos painéis admin do Form Tools acessíveis a partir de redes não confiáveis com higiene de contas fraca, ele fura a fila, porque a SSTI remove o último muro entre uma sessão admin e o sistema operacional.