Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Tungsten Automation (poprzednio Kofax) TotalAgility i koordynował proces ujawniania informacji.

Obie podatności CVE-2024-7874 oraz CVE-2024-7875 dotyczące oprogramowania TotalAgility w wersjach do 7.9.0.25.0.954 włącznie, pozwalają nieuwierzytelnionemu atakującemu na przeprowadzenie ataku typu Reflected XSS (Cross-site Scripting) poprzez odpowiednią modyfikację dwóch różnych parametrów: mfpConnectionId w formularzu wysyłanym do endpointa /TotalAgility/Kofax/BrowserDevice/ScanFront.aspx
i /TotalAgility/Kofax/BrowserDevice/ScanFrontDebug.aspx jak również parametru mfpScreenResolutionWidth w formularzu wysyłanym do endpointa /TotalAgility/Kofax/BrowserDevice/ScanFront.aspx.

Przeprowadzenie ataku wymaga wysłania żądania POST oraz znajomości poprawnego parametru VIEWSTATE. Oba te czynniki obniżają ryzyko wykorzystania podatności, choć należy mieć na uwadze, że wygenerowanie czy uzyskanie z serwera parametru VIEWSTATE nie stanowi większego problemu.

Nasz zespół nie był w stanie skontaktować się z wytwórcą oprogramowania, w związku z czym szczegóły dot. CVE uzgodnione zostały jedynie ze zgłaszającymi.

Podziękowania

Za zgłoszenie podatności dziękujemy badaczom: Amin ACHOUR oraz Abderrahmane Bounhidja.