CVE-2024-8316

Progress Telerik UI for WPF carga un fallo de deserialización insegura que habilita la ejecución de código, activado localmente cuando un usuario interactúa con datos maliciosos que el componente deserializa. WPF es un framework de UI de escritorio, así que el escenario realista es una aplicación de cliente pesado construida sobre Telerik procesando una entrada manipulada por el atacante y ejecutando código en el contexto del usuario como resultado.

La deserialización-a-RCE es una técnica trillada y confiable, pero el vector local y el requisito de interacción del usuario aquí significan que esto no se rocía de forma remota: depende de poner datos manipulados frente a un usuario de la aplicación de escritorio afectada. Eso lo enmarca como un riesgo del lado del cliente dirigido: peligroso donde el componente vulnerable se usa ampliamente, pero condicionado por cómo el payload malicioso llega al usuario.

Nuestro ángulo es el inventario de dependencias en el software construido más que la exposición de servidor. Telerik UI for WPF es un componente compilado dentro de las aplicaciones, así que la pregunta es cuáles de nuestras apps de escritorio lo empaquetan y en qué versión, el tipo de dependencia que es fácil de perder de vista una vez enviada. Priorizamos reconstruir las aplicaciones afectadas contra la versión corregida, ya que no hay ninguna palanca del lado del servidor que ajustar cuando el código vulnerable se envía dentro del cliente.