CVE-2021-34685

El UploadService de Pentaho intenta bloquear las cargas peligrosas por extensión, pero lo hace mal: un archivo ".jsp" simple es rechazado, pero un archivo ".jsp." —el mismo nombre con un punto final— se cuela por la verificación y aún así aterriza como un JSP ejecutable, dando ejecución remota de código. El giro interesante es que, a pesar de ese resultado de RCE, el registro CVSS lo puntúa muy bajo, porque el vector lo trata como algo que requiere privilegios altos y produce solo un impacto limitado en la integridad.

Esa brecha entre "conduce a la ejecución remota de código" en el texto y una puntuación de 2.7 vale la pena señalarla con honestidad. El factor condicionante es que el atacante debe ser un usuario autenticado con derechos de carga ya existentes; esto no es un depósito anónimo. Así que la amenaza realista es un usuario autorizado-pero-no-confiable, o una cuenta de bajo valor secuestrada, escalando su acceso existente hacia ejecución de código en el servidor de Pentaho: un bypass de la frontera de privilegios más que una brecha por la puerta principal.

Nuestra lectura es confiar en el impacto por encima de la puntuación bruta en la dirección opuesta: el número dice 2.7, pero el resultado es ejecución de código, así que lo clasificaríamos por encima de donde normalmente se sitúa un 2.7 sin dejar de señalar la precondición de autenticación. En la práctica, inventariaríamos las instancias de Pentaho hasta 9.1, priorizaríamos cualquiera donde los permisos de carga estén ampliamente concedidos o la aplicación sea accesible externamente, y donde la aplicación de parches se retrase, vigilaríamos las solicitudes de carga con extensiones de punto final o de otro modo malformadas como firma de detección.