Falha crítica no motor Jinjava da HubSpot permite execução remota de código

Uma falha crítica foi identificada no motor de templates Jinjava, mantido pela HubSpot, que permite a execução remota de código (RCE) em milhares de sites. A vulnerabilidade explora a integração do ObjectMapper do Jinjava, possibilitando a desserialização de entradas controladas por atacantes em classes Java arbitrárias, apesar das salvaguardas existentes. Pesquisadores alertam que, sem correções imediatas, milhões de páginas que dependem do Jinjava para conteúdo dinâmico estão em risco de comprometimento total do sistema.

O bypass do sandbox ocorre através da desserialização de JavaType, permitindo que atacantes acessem métodos e objetos que deveriam estar restritos. Um exemplo prático demonstrou como um invasor pode ler arquivos locais, como o /etc/passwd, utilizando primitivas de desserialização do Jackson. As implicações vão além da leitura de arquivos, pois a exploração pode levar a ataques de Server-Side Request Forgery (SSRF) e, em ambientes corporativos, a execução remota de código total.

A HubSpot lançou um aviso de segurança e corrigiu a falha na versão 2.9.0 do Jinjava, recomendando que os usuários atualizem imediatamente. Além disso, desenvolvedores devem auditar entradas de templates personalizados e aplicar salvaguardas adicionais para mitigar riscos futuros.

Fonte: https://cyberpress.org/flaw-in-hubspot-jinjava/

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).