CVE-2021-41790

O Alfresco Content Services permite que uma script action execute scripts que foram enviados fora do Data Dictionary, de modo que um usuário autenticado pode rodar código arbitrário — mas dentro de um ambiente em sandbox. Dois qualificadores o delineiam com precisão: o atacante precisa estar autenticado, e a execução fica confinada a um sandbox, em vez de ter rédea solta no host. É um escape, por um usuário autorizado, da fronteira pretendida de "executar apenas scripts do Data Dictionary confiável".

Como exige um login válido de baixo privilégio e aterrissa em um sandbox, a ameaça realista é um insider autenticado ou uma conta de usuário comprometida escalando o que pode fazer dentro da plataforma de conteúdo, e não uma tomada remota anônima. O valor para um atacante é a execução de código contra um sistema de gestão de documentos que frequentemente armazena conteúdo empresarial sensível e se integra a sistemas de identidade e armazenamento — um forte ponto de pivô —, mas o requisito de autenticação e o sandboxing são freios significativos que a mantêm fora do nível de pânico crítico.

Nossa abordagem é ponderar quem detém contas e se a plataforma é acessível externamente. Inventariaríamos o Alfresco Content Services até a 7.0.1.2, priorizando instâncias expostas além da rede corporativa ou com auto-registro amplo, já que essas ampliam o conjunto de "atacantes autenticados". A correção segue a linha do fornecedor; onde ela atrasar, restringiríamos quem pode invocar script actions e monitoraríamos a execução de scripts originada fora do Data Dictionary como assinatura de abuso.