CVE-2021-44042

UiPath Assistant: wstrzyknięcie JavaScript przez obsługę URI

CVSS 9.8v3.1pub. 2021-12-14upd. 2024-11-21

Podatność w UiPath Assistant 21.4.4 umożliwia wstrzyknięcie kodu JavaScript poprzez nieprawidłowo zakodowany argument --process-start w obsłudze URI typu uipath-assistant://. Atakujący może wykonać dowolny kod JavaScript w kontekście aplikacji Electron, co stanowi poważne zagrożenie dla integralności systemu.

▸ Pokaż oryginał (EN)

An issue was discovered in UiPath Assistant 21.4.4. User-controlled data supplied to the --process-start argument of the URI handler for uipath-assistant:// is not correctly encoded, resulting in attacker-controlled content being injected into the error message displayed (when the injected content does not match an existing process). A determined attacker could leverage this to execute JavaScript in the context of the Electron application.

🤖 Analiza AI

Jak działa

Aplikacja UiPath Assistant obsługuje własny schemat URI (uipath-assistant://) i przyjmuje dane użytkownika przez argument --process-start. Dane te nie są poprawnie kodowane (brak właściwego escapowania) przed umieszczeniem w komunikacie błędu wyświetlanym przez aplikację. Gdy podana wartość nie odpowiada żadnemu istniejącemu procesowi, wstrzyknięta treść trafia bezpośrednio do komunikatu błędu, co pozwala na wykonanie JavaScript w kontekście procesu Electron. Atakujący może nakłonić ofiarę do kliknięcia w spreparowany link URI, inicjując tym samym atak.

Skutki

Atakujący może wykonać dowolny kod JavaScript w kontekście uprzywilejowanej aplikacji Electron, co może prowadzić do przejęcia kontroli nad aplikacją, uzyskania dostępu do wrażliwych danych lub dalszego kompromitowania systemu.

Mitygacja

Należy zaktualizować UiPath Assistant do wersji 21.10.4 lub nowszej zgodnie z informacjami w notatkach wydania producenta dostępnych pod adresem https://docs.uipath.com/robot/docs/release-notes-2021-10-4