XSS lưu trữ trong Forcepoint Web Security Transaction Viewer có thể thao tác qua trình duyệt quản trị viên

Lỗ hổng neutralization không phù hợp đối với đầu vào trong quá trình tạo trang web ('Cross-site Scripting') trong Forcepoint Web Security (Transaction Viewer) cho phép Stored XSS. Portal Forcepoint Web Security cho phép quản trị viên tạo các báo cáo chi tiết về những yêu cầu của người dùng được thực hiện qua web proxy. Đã xác định rằng trường "user agent" trong Transaction Viewer dễ bị tấn công Cross-Site Scripting (XSS) persistent, và bất kỳ người dùng nào có thể định tuyến lưu lượng qua Forcepoint Web proxy đều có thể khai thác lỗ hổng này. Lỗ hổng cho phép kẻ tấn công không được ủy quyền thực thi JavaScript trong ngữ cảnh trình duyệt của quản trị viên Forcepoint, qua đó thực hiện các thao tác thay mặt quản trị viên. Vi phạm như vậy có thể dẫn đến truy cập hoặc sửa đổi trái phép, tạo ra rủi ro bảo mật đáng kể. Vấn đề này ảnh hưởng đến Web Security: trước phiên bản 8.5.6.

• Forcepoint Web Security, Transaction Viewer: bị ảnh hưởng từ phiên bản 0 đến các phiên bản thấp hơn 8.5.6; trạng thái mặc định là affected.
• Bản ghi không liệt kê các nhánh phát hành song song hoặc kiểu triển khai riêng biệt, vì vậy trạng thái của các phạm vi ngoài ranh giới này chưa được xác nhận độc lập.

Forcepoint Web Security Transaction Viewer xử lý trường user agent trong các báo cáo về yêu cầu đi qua web proxy. Trường này có lỗi persistent Cross-Site Scripting do dữ liệu đầu vào không được trung hòa phù hợp trước khi đưa vào nội dung web. Theo bản ghi, bất kỳ người dùng nào có thể định tuyến lưu lượng qua Forcepoint Web proxy đều có thể đưa dữ liệu vào trường này mà không cần quyền quản trị viên. Khi nội dung được lưu trữ hiển thị trong trình duyệt của quản trị viên, JavaScript có thể được thực thi trong ngữ cảnh trình duyệt đó và có khả năng thực hiện các thao tác bằng quyền của quản trị viên. Các đặc điểm tấn công được cung cấp cho thấy lỗ hổng có thể truy cập qua mạng, không yêu cầu quyền trước và có độ phức tạp thấp, nhưng cần sự tương tác của người dùng. Bản ghi không nêu chi tiết cơ chế encoding, bộ lọc, ngữ cảnh HTML cụ thể hoặc điều kiện chính xác để nội dung độc hại được hiển thị.

• Lỗ hổng có thể bị khai thác qua mạng bởi người dùng có khả năng định tuyến lưu lượng qua Forcepoint Web proxy.
• Bản ghi cho biết không cần quyền trước và độ phức tạp tấn công thấp.
• Sự tương tác của người dùng là cần thiết. Với dạng stored XSS này, điều kiện có khả năng là quản trị viên phải mở hoặc xem nội dung Transaction Viewer chứa dữ liệu đã lưu.
• Bản ghi không xác nhận việc khai thác thực tế ngoài đời và không nêu exploit công khai, chiến dịch hoặc nạn nhân cụ thể.

Kết quả kỹ thuật là JavaScript do kẻ tấn công kiểm soát có thể chạy trong ngữ cảnh trình duyệt của Forcepoint administrator. Điều này có thể cho phép thực hiện hành động trái phép với quyền của phiên quản trị viên và làm thay đổi phạm vi ảnh hưởng từ dữ liệu đầu vào của người dùng sang hệ thống quản trị. Các hậu quả có thể gồm mất tính bí mật hoặc toàn vẹn của dữ liệu, và trong những trường hợp chức năng quản trị cho phép, có thể ảnh hưởng đến hoạt động dịch vụ. Mức độ ảnh hưởng thực tế phụ thuộc vào quyền của quản trị viên và các kiểm soát bổ sung; bản ghi không xác nhận một vụ khai thác cụ thể.

• Kẻ tấn công có thể thực hiện các thao tác bằng quyền của phiên quản trị viên nếu JavaScript được thực thi thành công.
• Hậu quả có thể gồm truy cập trái phép vào thông tin quản trị hoặc thay đổi dữ liệu và cấu hình mà tài khoản quản trị viên được phép thao tác.
• Tác động thực tế phụ thuộc vào quyền của quản trị viên, các biện pháp bảo vệ phiên và những chức năng được cung cấp trong portal.
• Bản ghi không xác định một vụ xâm nhập, nạn nhân hoặc tổ chức cụ thể.

1. Nâng cấp Forcepoint Web Security lên phiên bản 8.5.6.
2. Nếu đang chạy phiên bản 8.5.5 và chưa thể nâng cấp, áp dụng các bước workaround do Forcepoint cung cấp cho phiên bản đó.
3. Trong thời gian chờ nâng cấp hoặc triển khai workaround, hạn chế việc sử dụng Transaction Viewer theo hướng không đưa trường user agent vào các báo cáo nếu biện pháp này được Forcepoint xác nhận trong hướng dẫn xử lý.
4. Sau khi xử lý, kiểm tra lại phiên bản trên từng hệ thống và xác nhận quy trình Transaction Viewer không còn hiển thị dữ liệu user-agent chưa được trung hòa.

1. Kiểm kê các triển khai Forcepoint Web Security và xác định những hệ thống có bật hoặc cung cấp Transaction Viewer.
2. Kiểm tra phiên bản triển khai theo từng hệ thống và xác định hệ thống nào vẫn nằm trong phạm vi bị ảnh hưởng.
3. Xem xét việc sử dụng các báo cáo Transaction Viewer có hiển thị trường user agent, đặc biệt trong các phiên quản trị.
4. Rà soát dữ liệu user-agent và nội dung báo cáo để tìm markup hoặc chuỗi script bất thường. Đây là biện pháp rà soát phòng ngừa, không phải IOC đã được xác nhận.
5. Kiểm tra telemetry của trình duyệt hoặc phiên quản trị để phát hiện các thao tác bất thường sau khi quản trị viên xem báo cáo. Không có bằng chứng như vậy không chứng minh hệ thống an toàn.