Se ha detectado una vulnerabilidad crítica en las versiones 6.3.54.0 y 6.3.53.2 de Google Security Operations SOAR. Un usuario autenticado con permisos para subir archivos ZIP (por ejemplo, al importar casos prácticos) podría subir un archivo ZIP capaz de escribir archivos en ubicaciones arbitrarias del sistema de archivos del servidor.

El sistema para extraer archivos de archivos ZIP no ha podido evitar que los archivos del archivo se escriban fuera de la carpeta de destino prevista. También se conoce como vulnerabilidad de recorrido de directorios o Zip Slip.

¿Qué debo hacer?

No hace falta que el cliente realice ninguna acción. Todos los clientes se han actualizado automáticamente a la versión corregida o a una posterior: 6.3.54.1 o 6.3.53.3.

¿Qué vulnerabilidades se están abordando?

Un atacante podría aprovechar esta vulnerabilidad para sobrescribir archivos de la aplicación. Si se sobrescribe un archivo JavaScript usado por la función de generación de informes, un atacante podría conseguir la ejecución remota de código (RCE) en la instancia de Google SecOps SOAR. El atacante podría ejecutar su propio código en el servidor.

Los clientes pueden configurar Google SecOps para que ingiera datos de segmentos de Cloud Storage propiedad del cliente mediante un feed de ingestión. Hasta hace poco, Google SecOps proporcionaba una cuenta de servicio compartida que los clientes usaban para conceder permiso al segmento. Se ha detectado una vulnerabilidad que permitía configurar la instancia de Google SecOps de un cliente para que ingiriera datos del segmento de Cloud Storage de otro cliente. Tras realizar un análisis del impacto, no hemos detectado que se haya aprovechado esta vulnerabilidad en ningún momento. La vulnerabilidad estaba presente en todas las versiones de Google SecOps anteriores al 19 de septiembre del 2023.

¿Qué debo hacer?

A fecha del 19 de septiembre del 2023, Google SecOps se ha actualizado para corregir esta vulnerabilidad. No hace falta que el cliente realice ninguna acción.

¿Qué vulnerabilidades se están abordando?

Antes, Google SecOps proporcionaba una cuenta de servicio compartida que los clientes usaban para conceder permisos a un segmento. Como diferentes clientes habían dado permiso a la misma cuenta de servicio de Google SecOps para acceder a su contenedor, existía un vector de explotación que permitía que el feed de un cliente accediera al contenedor de otro cliente cuando se creaba o modificaba un feed. Este vector de explotación requería conocer el URI del contenedor. Ahora, durante la creación o modificación de feeds, Google SecOps usa cuentas de servicio únicas para cada cliente.