Server-Side Request Forgery en la exportación a PDF de Wegow

Se ha hecho pú­bli­ca una vul­ne­ra­bi­li­dad de fal­si­fi­ca­ción de so­li­ci­tu­des del lado del ser­vi­dor, co­no­ci­da como SSRF, que afec­ta a una he­rra­mien­ta em­plea­da por Wegow Tech­no­lo­gies den­tro de su pla­ta­for­ma. Dicho fallo de se­gu­ri­dad se lo­ca­li­za es­pe­cí­fi­ca­men­te en la op­ción des­ti­na­da a ex­por­tar a for­ma­to PDF los grá­fi­cos sobre ven­tas de en­tra­das per­te­ne­cien­tes al por­tal del bac­kof­fi­ce de la com­pa­ñía.

El des­cu­bri­mien­to de esta de­bi­li­dad in­for­má­ti­ca co­rrió a cargo de Cosme Váz­quez Tomé, ha­bien­do co­la­bo­ra­do INCIBE en la coor­di­na­ción de su di­vul­ga­ción ofi­cial. Al pro­ble­ma se le ha ad­ju­di­ca­do un có­di­go iden­ti­fi­ca­dor es­pe­cí­fi­co y cuen­ta con los pa­rá­me­tros mé­tri­cos y de se­ve­ri­dad de­ta­lla­dos en el in­for­me, aun­que la pun­tua­ción de­fi­ni­ti­va y el vec­tor co­rres­pon­dien­te aún deben pasar por un pro­ce­so de va­li­da­ción.

De acuer­do con la in­for­ma­ción ex­pli­ca­da en el re­por­te, la falla per­mi­te que cual­quier per­so­na que posea una se­sión ac­ti­va como pro­mo­tor al­te­re una eti­que­ta den­tro de la pe­ti­ción en­via­da al so­li­ci­tar la des­car­ga del do­cu­men­to. Como re­sul­ta­do, un ser­vi­cio ex­terno pro­ce­sa di­chos datos eje­cu­tan­do lla­ma­das HTTP hacia re­cur­sos con­tro­la­dos por un ata­can­te y aña­dien­do sus res­pues­tas al ar­chi­vo final, em­plean­do así el me­ca­nis­mo de ex­por­ta­ción como un in­ter­me­dia­rio.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre una so­lu­ción para este pro­ble­ma, in­di­can­do que por ahora no exis­te un par­che o arre­glo re­por­ta­do.