CVE-2024-8316

O Progress Telerik UI for WPF carrega uma falha de desserialização insegura que permite execução de código, acionada localmente quando um usuário interage com dados maliciosos que o componente desserializa. O WPF é um framework de UI desktop, então o cenário realista é uma aplicação fat-client construída sobre o Telerik processando uma entrada forjada por um atacante e executando código no contexto do usuário como resultado.

Desserialização-para-RCE é uma técnica batida e confiável, mas o vetor local e a exigência de interação do usuário aqui significam que isto não é disparado remotamente — depende de colocar dados forjados diante de um usuário da aplicação desktop afetada. Isso o enquadra como um risco direcionado do lado do cliente: perigoso onde o componente vulnerável é amplamente usado, mas limitado por como o payload malicioso chega ao usuário.

Nosso ângulo é inventário de dependências em software construído, e não exposição de servidor. O Telerik UI for WPF é um componente compilado dentro de aplicações, então a pergunta é quais de nossos apps desktop o empacotam e em qual versão — o tipo de dependência fácil de perder de vista uma vez que o software é entregue. Priorizamos recompilar as aplicações afetadas contra a versão corrigida, já que não há botão do lado do servidor para acionar quando o código vulnerável é entregue dentro do cliente.