CVE-2022-42948

Cobalt Strike 4.7.1 falha ao escapar tags HTML antes de renderizá-las em componentes Java Swing da interface gráfica do operador, permitindo execução de código ao exibir conteúdo malicioso na tela. O CVSS 9.8 é enganoso: a falha não está no team server exposto à rede, mas no cliente Java do operador — o vetor real depende de que texto controlado por um atacante chegue até essa interface, tipicamente via dados retornados por um beacon.

A falha é classificada pela CISA como CWE-79 (Cross-Site Scripting) combinado com CWE-116 (Improper Encoding or Escaping of Output). Componentes Swing como JLabel e JEditorPane suportam um subconjunto de HTML para formatação simples de texto. Na versão 4.7.1, o Cobalt Strike passa certos textos de origem externa para esses componentes sem sanitização, deixando o motor de renderização HTML do Swing interpretar tags injetadas.

Segundo análise pública (RedPacketSecurity/vulndb), ao criar componentes Swing a partir de input não confiável, um atacante consegue instanciar objetos Java arbitrários presentes no classpath da aplicação e invocar seus métodos setter — um padrão conhecido de abuso do parser HTML do Swing para encadear efeitos colaterais até execução de código no processo do cliente Java.

O fornecedor não detalhou publicamente qual campo específico da UI carrega o texto vulnerável. A descrição oficial só afirma que a falha ocorre "quando exibidos em componentes Swing", sem indicar se é metadado de beacon, nome de listener, output de comando ou outro campo — essa é uma lacuna real na documentação pública, não algo a preencher por suposição.

A superfície vulnerável é a interface gráfica do operador (cliente Java Swing), não o team server em si. Isso inverte o modelo de ameaça usual: o beneficiário do ataque não é quem controla o C2, mas alguém capaz de fazer com que conteúdo malicioso seja exibido no console de quem opera o Cobalt Strike. Na prática, o caminho mais plausível é um host comprometido por um beacon retornar dados (hostname, usuário, resultado de comando, metadata de processo) contendo HTML malicioso, que a UI do operador renderiza sem escapar.

Pré-requisito central: é preciso já existir algum canal de dados fluindo até a interface do operador — normalmente uma sessão de beacon ativa contra um host sob controle do atacante, ou qualquer outro campo de texto não sanitizado exibido pelo cliente. Não é uma RCE explorável remotamente contra um servidor exposto à internet no sentido tradicional, apesar do vetor CVSS AV:N/AC:L/UI:N sugerir isso.

A CVE está no catálogo KEV da CISA, o que exige evidência de exploração real, mas a própria entrada marca "Known To Be Used in Ransomware Campaigns: Unknown" e nenhuma das fontes lidas descreve um incidente público detalhado, quem foi a vítima (operador legítimo, red teamer, ou operador de Cobalt Strike crackeado usado por grupos criminosos) ou qual foi o vetor exato de entrega do HTML malicioso.

Atualizar para Cobalt Strike 4.7.2 ou versão posterior — o fornecedor lançou essa versão como atualização out-of-band especificamente para esta falha. Não há flag de configuração, WAF ou controle compensatório documentado nas fontes analisadas, porque o defeito está no código de renderização HTML do cliente Java, não em um endpoint de rede filtrável.

Se a atualização imediata não for viável, reduzir quem tem acesso ao console do operador e tratar com desconfiança dados de beacon provenientes de hosts não totalmente controlados (honeypots, hosts de terceiros, alvos hostis) diminui a exposição, mas não elimina a vulnerabilidade — o dado malicioso ainda passa pela UI vulnerável se e quando for exibido.

Não há assinatura de rede confiável documentada nas fontes analisadas: a exploração ocorre na renderização local do cliente Java Swing do operador, não em uma requisição distinguível no protocolo de comunicação do Beacon ou do team server. Um sinal possível, mas não confirmado como IOC formal, seria a presença de tags HTML incomuns em campos de texto retornados por beacons (hostname, nome de usuário, resultados de comando) registrados nos logs do team server — nenhuma fonte lida fornece um padrão ou assinatura específica para isso.