CVE-2022-51022 – Path Traversal em YiShaAdmin 2.2‑3.1
Uma vulnerabilidade crítica (CVSS 9.1) permite que atacantes não autenticados leiam ou excluam arquivos arbitrários via a rota /admin/File/DownloadFile. O vetor é rede, com baixa complexidade e sem necessidade de privilégios ou interação do usuário. A exploração foi confirmada pela Shadowserver em 20/10/2023. O risco inclui vazamento de credenciais e interrupção de serviços críticos.
Dados corroborados pelo NVD, OSV.dev e evidência de exploração pública pela Shadowserver, além de detalhes de patch e vetor CVSS, conferem alta confiança.
O que aconteceu
YiShaAdmin 2.2‑3.1 aceita o parâmetro filePath sem validação, possibilitando sequências de travessia (../) que conduzem a leitura ou exclusão de arquivos do sistema. O parâmetro delete, quando definido, aciona a remoção do arquivo especificado. O CVSS 3.1 indica ataque via rede, baixa complexidade, sem privilégios ou interação, com impacto alto em confidencialidade e disponibilidade. O EPSS não foi citado, mas a presença de prova de conceito pela Shadowserver eleva a probabilidade de exploração.
Por que isso importa
Organizações que utilizam YiShaAdmin podem ter credenciais de usuários expostas (/etc/passwd) ou sofrer perda de disponibilidade ao remover arquivos críticos. A exposição afeta tanto ambientes corporativos quanto de infraestrutura, independentemente da região.
Quem está em risco
Instalações que executam YiShaAdmin versão 2.2 até 3.1, especialmente em servidores web expostos publicamente, em setores corporativo e de infraestrutura.
Detalhes técnicos
Vetor de ataque: NETWORK; Complexidade: LOW; Privilégios: NONE; Interação do usuário: NONE. CWE‑22 (Path Traversal). Exploração via requisição GET a /admin/File/DownloadFile?filePath=../../../../etc/passwd&delete=1. Técnicas ATT&CK: T1190 – Exploit Public‑Facing Application; T1046 – Network Service Scanning (para descobrir o endpoint).
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize YiShaAdmin para a versão que inclui o commit 025b0628b1295bd2d9fd6c9b5b82692a345151ef ou superior.
- 2
Se a atualização não for viável, bloqueie a rota /admin/File/DownloadFile no WAF ou proxy reverso, permitindo apenas caminhos seguros.
- 3
Implemente validação estrita de entrada para o parâmetro filePath, rejeitando sequências de ../ e restringindo a diretórios permitidos.
Sugestões de detecção
- ›
Analise logs de acesso web (e.g., nginx/access.log) procurando requisições GET a /admin/File/DownloadFile contendo "../" no parâmetro filePath; query exemplo: request_uri:"/admin/File/DownloadFile" AND args:filePath:*../*
- ›
Monitore eventos de integridade de arquivos (e.g., auditd ou Tripwire) para alterações ou exclusões de arquivos sensíveis como /etc/passwd; alerta ao evento PATH=/etc/passwd ACTION=delete
Falsos positivos
Consultas que buscam "../" podem gerar falsos positivos em downloads legítimos que utilizam caminhos relativos; ajuste a regra para exigir que o parâmetro delete esteja presente ou que o caminho aponte fora do diretório raiz da aplicação.