CVE-2023-33510

Jeecg P3 Biz Chat 1.0.5 permite a un atacante remoto leer archivos arbitrarios del servidor a través de parámetros de solicitud específicos —una divulgación de estilo path traversal que no requiere autenticación—. La recompensa inmediata es lo que sea que viva en el disco: configuración de la aplicación, credenciales de base de datos, claves privadas, datos de sesión. Por sí sola no otorga ejecución de código, pero la lectura de archivos no autenticada suele ser la jugada de apertura que suministra las credenciales para la siguiente.

La urgencia es moderada y específica. Esta es una aplicación de huella reducida más que algo en la lista de objetivos de todos los escáneres, así que la amenaza realista es un actor dirigido o un escaneo oportunista que da la casualidad de que la identifica, no una campaña de botnet global. Pero la barrera es genuinamente baja —ningún inicio de sesión que vencer—, así que cualquier instancia expuesta es trivialmente aprovechable, y los secretos filtrados rara vez se quedan contenidos en la máquina de la que salieron.

Abordamos esto a través de la accesibilidad y la detección. Primero, ¿existe esta aplicación en algún lugar donde operemos y está expuesta a internet?; para la mayoría de los parques la respuesta honesta es que no está presente en absoluto. Donde lo está, la lectura de archivos arbitrarios es muy visible en los logs de solicitudes —secuencias de traversal y rutas de archivo inesperadas—, así que nos apoyamos en la detección y el parcheo virtual en el proxy para ganar tiempo mientras la instancia se aísla o se retira.