Descripción
Camunda 7.24.0 anterior a 7.24.14 y 7.23.0 anterior a 7.23.17 contiene una vulnerabilidad de inyección de expresiones en la que AdhocQueryValidator.validate() no verifica los mapas de expresiones de subconsultas dentro del campo orQueries expuesto por TaskQueryDto, lo que permite a usuarios autenticados eludir la restricción enableExpressionsInAdhocQueries. Los atacantes pueden suministrar una expresión JUEL maliciosa, como dueAfterExpression, dentro de una entrada de orQueries para lograr reflexión arbitraria de Java e invocar java.lang.Runtime.exec, lo que da lugar a la ejecución de comandos del sistema operativo con los privilegios del usuario del servicio del motor.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Camunda 7 Afectadas: 7.24.0 y anteriores a 7.24.14 · 7.23.0 y anteriores a 7.23.17
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Exploit publicadocodeant.ai/security-research/camunda-adhoc-query-expression-rce-cve-2…
- Parchedocs.camunda.org/enterprise/download/
- Aviso de vulncheck.comvulncheck.com/advisories/camunda-expression-injection-via-orqueries-r…
Ver el texto original en inglés (CVE.org)
Camunda Expression Injection via orQueries RCE
Camunda 7.24.0 before 7.24.14 and 7.23.0 before 7.23.17 contains an expression injection vulnerability where AdhocQueryValidator.validate() fails to check sub-query expression maps within the orQueries field exposed by TaskQueryDto, allowing authenticated users to bypass the enableExpressionsInAdhocQueries restriction. Attackers can supply a malicious JUEL expression such as dueAfterExpression inside an orQueries entry to achieve arbitrary Java reflection and invoke java.lang.Runtime.exec, resulting in operating-system command execution as the engine service user.