CVE-2021-46386

O mingSoft MCMS permite que um atacante remoto faça upload de um web shell jspx malicioso para o handler FileAction#upload e, com isso, execute código arbitrário no servidor. Este é um upload-de-arquivo-para-RCE não autenticado em um sistema de gestão de conteúdo: o caminho de upload não impede que um arquivo JSPX executável seja gravado onde o servidor o executará, de modo que uma única requisição maliciosa se converte em um web shell e no controle total do host do CMS.

RCE não autenticado em um CMS instalável é alimento de primeira para botnets. Não há credencial a obter nem usuário a enganar por phishing, então, assim que o caminho vulnerável se torna público, scanners automatizados tendem a atingir toda instalação MCMS alcançável em busca do endpoint de upload FileAction. O resultado de um envio bem-sucedido é o roteiro padrão do web shell — desfiguração, spam de SEO, criptomineração, roubo de dados ou pivô para a rede de hospedagem — e o limite de versão, até a 5.2.5, é tudo o que separa um site exposto do comprometimento.

Como em qualquer CMS auto-hospedado, nosso verdadeiro problema é a descoberta, não a compreensão. Instalações do MCMS costumam ser erguidas por projeto e raramente rastreadas centralmente, então o trabalho é enumerar quais instâncias nós (ou equipes que apoiamos) de fato executamos, em qual versão, e quais expõem o caminho de upload à internet. Essa interseção alcançável-e-vulnerável é o conjunto urgente; onde a aplicação de patch para uma versão corrigida atrasar, bloquear ou autenticar o endpoint de upload FileAction no proxy é o paliativo, e qualquer instalação exposta anterior à 5.2.5 é tratada como suspeita até que se prove limpa.