CVE-2021-42777

O Stimulsoft Reports, quando o Compilation Mode está habilitado, executa código C# arbitrário embutido em um relatório em qualquer máquina que o renderize — a prova sendo uma chamada System.Diagnostics.Process.Start. Em termos simples, um arquivo de relatório é um arquivo de código: quem quer que o abra ou renderize executa o C# do atacante com os privilégios do processo de renderização, seja ele o servidor de aplicação ou a máquina local de um usuário final. O motor de relatórios trata a lógica do template como confiável, e essa confiança é a vulnerabilidade.

Isto é perigoso porque relatórios circulam como documentos — são enviados por e-mail, compartilhados e carregados de repositórios por pessoas que os consideram dados, não executáveis. A condição que o restringe é o Compilation Mode estar em uso, mas onde estiver, um relatório malicioso é um veículo de entrega limpo para execução de código, e a renderização do lado do servidor significa que um único template envenenado pode comprometer um backend compartilhado, em vez de uma única estação. É um vetor no estilo direcionado ou de cadeia de suprimentos, e não varrido em massa, mas o retorno — execução de código em servidor ou estação a partir de um arquivo em que as pessoas confiam — é alto.

Nossa ênfase é o estado de configuração e a fronteira de confiança em torno das fontes de relatórios. Determinaríamos onde a renderização do Stimulsoft roda, se o Compilation Mode está habilitado e, criticamente, se relatórios de fontes não confiáveis ou fornecidas por usuários chegam ao renderizador — esse último ponto é o que transforma o recurso em uma arma. Restringir a renderização a templates confiáveis e desabilitar a compilação onde não for necessária é o controle prático; classificamos as instâncias conforme relatórios de autoria externa possam ou não alcançar um renderizador do lado do servidor, que é o pior caso.