Lỗi chèn HTML trong Swagger UI của OpenText Opentext Directory Services

Một lỗ hổng trong OpenText Opentext Directory Services cho phép thao túng dữ liệu đầu vào. Vấn đề này ảnh hưởng đến Opentext Directory Services: đến hết phiên bản 22.2.

• OpenText Opentext Directory Services, OTDS Swagger UI: Structured affected data của CNA đánh dấu phạm vi custom từ phiên bản 0 đến và bao gồm 22.2 là bị ảnh hưởng.
• Trạng thái mặc định được ghi nhận là unaffected ngoài tập phiên bản bị khai báo, nhưng không nên dùng giá trị mặc định này để suy luận rằng mọi nhánh phát hành chưa được kiểm tra đều an toàn.
• Bản ghi không nêu bản phát hành sửa lỗi cụ thể. Việc có patch_available không xác định được phiên bản đích hoặc chứng minh rằng mọi nhánh song song và các nhánh phát hành muộn hơn đã được sửa.

Lỗi được xác định là việc không trung hòa đúng dữ liệu đầu vào trong quá trình tạo trang web, thuộc CWE-79. Trong OTDS Swagger UI, dữ liệu do kẻ tấn công kiểm soát có thể được diễn giải như HTML thay vì chỉ được hiển thị như dữ liệu thông thường, phù hợp với mô tả HTML injection của CNA. Bản ghi công khai không nêu rõ trường request, tham số, endpoint hoặc đường dẫn render cụ thể, vì vậy các chi tiết triển khai này vẫn chưa xác định. Vector được cung cấp cho thấy cuộc tấn công có thể thực hiện qua mạng, không yêu cầu quyền truy cập và có độ phức tạp thấp; tương tác người dùng ở trạng thái passive, tức trình duyệt hoặc ngữ cảnh hiển thị của nạn nhân có liên quan. Dữ liệu hiện có không xác nhận thực thi mã phía máy chủ hoặc một payload cụ thể.

• Khả năng truy cập: Qua mạng.
• Xác thực và quyền hạn: Không yêu cầu quyền hạn theo dữ liệu được cung cấp.
• Độ phức tạp: Thấp.
• Tương tác người dùng: Được ghi nhận là passive, cho thấy trình duyệt hoặc ngữ cảnh hiển thị của nạn nhân có thể tham gia vào chuỗi khai thác.
• Tình trạng khai thác: Bản ghi đặt public_exploit là false và known_exploited là null. Dữ liệu enrichment liên quan ghi nhận exploitation là none; do đó chưa có xác nhận về việc lỗ hổng đang bị khai thác thực tế. Khả năng tồn tại một public exploit có thể sử dụng được vẫn nên được xem là chưa được xác nhận.

Lỗ hổng có thể cho phép nội dung được chèn vào ngữ cảnh trang web của OTDS Swagger UI và ảnh hưởng đến dữ liệu mà người dùng có thể xem hoặc thay đổi trong phiên trình duyệt. Dữ liệu đánh giá của bản ghi cho thấy tác động tiềm tàng đến tính bảo mật và toàn vẹn là cao, trong khi tác động đến tính sẵn sàng không được xác định là có. Hậu quả cụ thể phụ thuộc vào dữ liệu và chức năng mà phiên người dùng có quyền truy cập. Bản ghi không thiết lập việc leo thang đặc quyền, chiếm quyền máy chủ, gián đoạn dịch vụ hoặc ảnh hưởng lan sang các hệ thống khác.

Lỗi có thể làm giảm tính tin cậy của giao diện Swagger UI và ảnh hưởng đến tính bảo mật hoặc toàn vẹn của dữ liệu được hiển thị trong phiên web của người dùng. Nếu giao diện bị phơi lộ và nội dung độc hại được trình duyệt nạn nhân render, tổ chức có thể phải kiểm tra dữ liệu hoặc thao tác được thực hiện trong các phiên liên quan. Việc xử lý cũng có thể yêu cầu kiểm kê khẩn cấp, cập nhật hệ thống và hạn chế truy cập đến giao diện quản trị hoặc tài liệu API. Bản ghi không xác nhận một vụ xâm nhập, nạn nhân, chiến dịch hoặc sự cố rò rỉ cụ thể.

1. Áp dụng bản cập nhật bảo mật hoặc hướng dẫn sửa lỗi chính thức của OpenText cho advisory được liên kết với mã kiến thức KB0870915. Bản ghi hiện không cung cấp phiên bản sửa lỗi cụ thể, vì vậy cần xác minh đúng bản cập nhật theo nhánh sản phẩm đang sử dụng.
2. Ưu tiên nâng cấp mọi bản cài đặt nằm trong phạm vi từ phiên bản 0 đến và bao gồm 22.2, sau đó xác nhận lại phiên bản build thực tế và trạng thái sửa lỗi.
3. Trong thời gian chưa cập nhật được, hạn chế truy cập mạng đến OTDS Swagger UI ở mức phù hợp với vận hành, đặc biệt từ các mạng hoặc người dùng không tin cậy. Đây là biện pháp giảm phơi lộ mang tính phòng ngừa, không phải workaround được vendor xác nhận.
4. Nếu giao diện từng được phơi lộ, rà soát các phiên truy cập và dữ liệu liên quan để đánh giá khả năng nội dung độc hại đã được render. Không coi việc không phát hiện dấu hiệu bất thường là bằng chứng hệ thống không bị ảnh hưởng.

1. Kiểm kê tất cả hệ thống chạy OpenText Opentext Directory Services và ghi nhận phiên bản build thực tế.
2. Xác định các hệ thống có triển khai OTDS Swagger UI và kiểm tra liệu giao diện này có thể truy cập từ mạng không tin cậy hoặc không cần xác thực hay không.
3. Đối chiếu từng bản cài đặt với phạm vi phiên bản bị ảnh hưởng và trạng thái cập nhật của OpenText; không suy luận an toàn chỉ từ việc dịch vụ vẫn hoạt động bình thường.
4. Như một biện pháp giám sát phòng ngừa, rà soát log truy cập và log ứng dụng liên quan đến Swagger UI để tìm request bất thường hoặc dữ liệu đầu vào chứa markup hay script. Đây không phải là IOC được vendor xác nhận, và việc không thấy log đáng ngờ không chứng minh hệ thống an toàn.