CVE-2023-29492

Novi Survey anterior a 8.9.43676 permite a un atacante remoto ejecutar código arbitrario en el servidor, ejecutándose en el contexto de la cuenta de servicio. Sin autenticar y sin requerir interacción del usuario, esta es una ejecución remota de código directa contra el host de la aplicación. El aviso añade un detalle de alcance que vale la pena arrastrar: no concede, por sí solo, acceso a los datos almacenados de encuestas o respuestas.

La RCE sin autenticar es el nivel más alto de lo que los atacantes cazan, y la ejecución de código como la cuenta de servicio otorga un punto de apoyo sólido en el host independientemente de la salvedad de acceso a datos, los defensores deberían leer esa salvedad como 'el radio de impacto inicial es el host, no necesariamente la base de datos de encuestas' en lugar de como una razón para relajarse. La RCE limpia sin autenticar en un producto nombrado es el tipo de cosa que se arma y se escanea una vez que circulan los detalles.

Nuestro enfoque es inventario más exposición: identificar cualquier instancia de Novi Survey por debajo de 8.9.43676 y, críticamente, cuáles son accesibles desde internet, ya que esas son las que están en riesgo inmediato. Priorizaríamos parchear el conjunto expuesto a fondo, y restringiríamos los privilegios de la cuenta de servicio de modo que la RCE en ese contexto esté tan contenida como sea posible, limitando cuán lejos puede pivotar un atacante desde el punto de apoyo inicial.