CVE-2023-29492

O Novi Survey anterior à versão 8.9.43676 permite a um atacante remoto executar código arbitrário no servidor, rodando no contexto da conta de serviço. Não autenticado e sem necessidade de interação do usuário, isto é uma execução remota de código direta contra o host da aplicação. O comunicado acrescenta um detalhe de escopo que vale carregar adiante: por si só, não concede acesso a dados armazenados de pesquisas ou respostas.

RCE não autenticado é o topo do que os atacantes caçam, e execução de código como a conta de serviço dá uma posição de apoio sólida no host independentemente da ressalva de acesso a dados, os defensores devem ler essa ressalva como 'o raio de impacto inicial é o host, não necessariamente o banco de dados de pesquisas' em vez de uma razão para relaxar. RCE não autenticado limpo em um produto nomeado é o tipo de coisa que é armada e varrida assim que os detalhes circulam.

Nossa abordagem é inventário mais exposição: identificar quaisquer instâncias do Novi Survey abaixo da 8.9.43676 e, criticamente, quais são acessíveis pela internet, já que essas são as que estão em risco imediato. Priorizaríamos o patch no conjunto exposto com rigor e restringiríamos os privilégios da conta de serviço para que o RCE nesse contexto seja o mais contido possível, limitando o quão longe um atacante consegue pivotar a partir da posição de apoio inicial.