CVE-2022-30278

El cross-site scripting aquí no reside en la propia lógica de la aplicación de Black Duck Hub, sino en el framework de documentación MadCap Flare embebido en su sistema de ayuda: la validación incorrecta de la entrada proporcionada por el usuario a esa ayuda embebida permite a un atacante remoto no autenticado colocar script logrando que un usuario haga clic en un enlace manipulado. Cuando la víctima lo sigue, la carga útil se ejecuta en su sesión de navegador y puede alcanzar información sensible basada en el navegador ligada a la interfaz del Hub.

El XSS reflejado está condicionado por la interacción por naturaleza: el atacante tiene que crear un enlace malicioso y convencer a un objetivo de hacer clic, así que este es un vector con forma de phishing, no uno autodisparable ni de explotación masiva. El valor está acotado a lo que un atacante puede hacer dentro del contexto de navegador autenticado de la víctima: secuestro de sesión, lectura de datos de la interfaz o pivote de acciones de UI. Que esté alojado en la documentación de ayuda incluida en lugar de en una función central también significa que es una superficie periférica, lo que junto con el requisito de clic lo mantiene firmemente en media.

Nuestro enfoque es la clasificación proporcionada más la detección en la capa web. Notaríamos que el fallo está en un framework de documentación de terceros embebido, lo trataríamos como un elemento de parche según cadencia en la línea de Black Duck Hub, y lo clasificamos por debajo de cualquier cosa no-autenticada-y-automática. Donde tengamos filtrado web o registro de proxy frente al Hub, vigilaríamos el patrón de solicitud de XSS reflejado que llega a las rutas de la documentación de ayuda, y reforzaríamos el mensaje habitual de que no se debe hacer clic en enlaces sospechosos hacia herramientas internas, ya que la interacción del usuario es la única forma en que esto se dispara.