CVE-2021-34685

O UploadService do Pentaho tenta bloquear uploads perigosos por extensão, mas o faz de forma errada: um arquivo .jsp simples é rejeitado, porém um arquivo .jsp. — mesmo nome com um ponto ao final — passa pela verificação e ainda assim é gravado como um JSP executável, resultando em execução remota de código. O detalhe interessante é que, apesar desse desfecho de RCE, o registro CVSS o pontua muito baixo, porque o vetor o trata como exigindo altos privilégios e produzindo apenas impacto limitado à integridade.

Essa distância entre o "leva à execução remota de código" do texto e uma pontuação 2.7 merece ser apontada com honestidade. O fator condicionante é que o atacante precisa já ser um usuário autenticado com direitos de upload; não é um envio anônimo. Assim, a ameaça realista é um usuário autorizado-mas-não-confiável, ou uma conta de baixo valor sequestrada, escalando seu acesso existente para execução de código no servidor Pentaho — um contorno de fronteira de privilégio, e não uma invasão pela porta da frente.

Nossa leitura é confiar no impacto em vez da pontuação bruta, na direção oposta: o número diz 2.7, mas o desfecho é execução de código, então a classificaríamos acima do lugar em que um 2.7 normalmente ficaria, ainda que observando a pré-condição de autenticação. Na prática, inventariaríamos instâncias do Pentaho até a 9.1, priorizaríamos aquelas em que as permissões de upload são amplamente concedidas ou o aplicativo é acessível externamente e, onde a aplicação de patches estiver atrasada, monitoraríamos requisições de upload com extensões terminadas em ponto ou de outra forma malformadas como assinatura de detecção.