CVE-2022-30278

O cross-site scripting aqui não reside na lógica de aplicação do próprio Black Duck Hub, mas no framework de documentação MadCap Flare embutido em seu sistema de ajuda: a validação imprópria de entrada fornecida pelo usuário a essa ajuda embutida permite que um atacante remoto não autenticado insira script fazendo um usuário clicar em um link malicioso. Quando a vítima o segue, o payload executa na sessão de navegador dela e pode alcançar informações sensíveis baseadas no navegador vinculadas à interface do Hub.

O XSS refletido é condicionado à interação por natureza — o atacante precisa criar um link malicioso e convencer um alvo a clicar nele, então este é um vetor no formato de phishing, e não um que dispara sozinho ou é explorado em massa. O valor se limita ao que um atacante pode fazer dentro do contexto de navegador autenticado da vítima: cavalgar a sessão, ler dados da interface ou pivotar ações da UI. O fato de estar alojado na documentação de ajuda incluída, e não em uma função central, também significa que é uma superfície periférica, o que, junto com a exigência de clique, a mantém firmemente em média.

Nossa abordagem é a classificação proporcional somada à detecção na camada web. Registraríamos que a falha está em um framework de documentação de terceiros embutido, a trataríamos como um item de correção na cadência na linha do Black Duck Hub e a classificaríamos abaixo de qualquer coisa não autenticada-e-automática. Onde tivermos filtragem web ou registro de proxy à frente do Hub, monitoraríamos o padrão de requisição de XSS refletido atingindo os caminhos de documentação de ajuda e reforçaríamos a mensagem de sempre de que links suspeitos para ferramentas internas não devem ser clicados — já que a interação do usuário é a única forma de isto disparar.