CVE-2021-41790

Alfresco Content Services permite que una acción de script ejecute scripts que fueron subidos fuera del Data Dictionary, de modo que un usuario con sesión iniciada puede ejecutar código arbitrario, pero dentro de un entorno aislado (sandbox). Dos matices lo definen con precisión: el atacante debe estar autenticado, y la ejecución está confinada a un sandbox en lugar de tener rienda suelta sobre el host. Es un escape del límite previsto de "solo ejecutar scripts del Data Dictionary confiable" por parte de un usuario autorizado.

Como requiere un inicio de sesión válido con privilegios bajos y aterriza en un sandbox, la amenaza realista es un insider autenticado o una cuenta de usuario comprometida escalando lo que puede hacer dentro de la plataforma de contenido, no una toma de control remota anónima. El valor para un atacante es la ejecución de código contra un sistema de gestión de documentos que a menudo alberga contenido empresarial sensible y se integra con sistemas de identidad y almacenamiento —un fuerte punto de pivote—, pero el requisito de autenticación y el sandbox son frenos significativos que lo mantienen fuera del nivel de pánico crítico.

Nuestro enfoque es sopesar quién tiene cuentas y si la plataforma es accesible externamente. Inventariaríamos Alfresco Content Services hasta 7.0.1.2, priorizando las instancias expuestas más allá de la red corporativa o con autorregistro amplio, ya que esas amplían el conjunto de "atacantes con sesión iniciada". Se parchea en la línea del proveedor; donde eso se retrase, restringiríamos quién puede invocar acciones de script y monitorearíamos la ejecución de scripts que se origine fuera del Data Dictionary como firma de abuso.