CVE-2022-44117

Este registro alega uma injeção de SQL não autenticada 9.8 no Boa 0.94.14rc21 por meio do campo username, mas é contestado por múltiplos terceiros em uma base fundamental: o Boa é um servidor web leve que é distribuído sem nenhum suporte a SQL. Se não há camada de banco de dados, não há SQL a injetar, razão pela qual a contestação existe e pela qual a classificação CRÍTICA deve ser lida com forte ceticismo.

CVEs contestados com uma premissa técnica implausível são ruído que infla filas se levados ao pé da letra. Não há história crível de exploração em massa para uma injeção de SQL em um componente que não tem SQL, e tratar isto como um 9.8 ativo desviaria esforço de problemas reais. O Boa de fato aparece em dispositivos embarcados, então o nome do produto vale ser reconhecido, mas esta alegação específica não é a razão para se preocupar com ele.

Nossa recomendação é rebaixar isto agressivamente e sinalizá-lo como contestado, em vez de acioná-lo como crítico. Se o Boa estiver presente em nosso parque de dispositivos embarcados, o movimento produtivo é analisar o histórico real e bem documentado de vulnerabilidades do Boa e sua exposição, e não perseguir uma alegação de injeção de SQL contra um servidor que não faz SQL.