CVE-2023-41265

Falha de HTTP Request Tunneling (CWE-444) no serviço de repositório do Qlik Sense Enterprise for Windows que permite a um atacante com sessão de baixo privilégio embutir um segundo request HTTP dentro do primeiro e fazê-lo ser executado pelo backend com privilégios mais altos. Está no catálogo KEV da CISA com exploração confirmada e, segundo o próprio fornecedor, quando combinada com CVE-2023-41266 (path traversal não autenticado no mesmo produto) permite a um atacante remoto sem credenciais obter execução remota de código no servidor.

A causa raiz é validação incorreta de cabeçalhos HTTP no componente que faz proxy/encaminhamento de requisições para o Qlik Repository Service (QRS). O parser de cabeçalhos do componente frontal interpreta o request de forma diferente do backend, permitindo que dados enviados como corpo, cabeçalho ou parâmetro de um request 'externo' sejam reinterpretados pelo repositório como um request HTTP independente e com privilégio distinto — o padrão clássico de request smuggling/tunneling (CWE-444), aplicado aqui não entre proxy e servidor web genéricos, mas entre o componente de borda do Qlik Sense e o serviço de repositório.

O vetor CVSS (PR:L, S:C, C:H/I:H) indica que a exploração isolada da CVE-2023-41265 exige uma sessão autenticada de baixo privilégio — o atacante precisa já ter algum nível de acesso à aplicação para montar o tunneling. É esse pré-requisito que o advisory do Qlik esclarece ao descrever o encadeamento com CVE-41266: essa segunda falha (path traversal, PR:N, não autenticada) permite gerar uma sessão anônima que satisfaz o requisito de autenticação da 41265, eliminando a barreira de privilégio e tornando a cadeia completa explorável sem credenciais.

O que o atacante controla é o conteúdo do request tunelado — os headers/corpo que serão reinterpretados como uma chamada legítima ao QRS. Isso dá acesso a endpoints administrativos do repositório (gestão de apps, tarefas, configuração de nós) normalmente restritos a contas privilegiadas, e é essa superfície que, junto ao path traversal, foi demonstrada por Adam Crosser e Thomas Hendrickson (Praetorian) como caminho para RCE completo no servidor Windows que hospeda o Qlik Sense.

Isoladamente, a CVE-2023-41265 exige que o atacante já possua uma sessão HTTP válida (mesmo de baixo privilégio) contra a instância Qlik Sense — não é um ataque puramente unauthenticated por si só. O request malicioso é construído para ser interpretado de forma divergente pelo componente de borda e pelo repositório, fazendo o backend executar uma ação que não deveria estar autorizada para aquele nível de sessão.

Na prática documentada pelo próprio fornecedor, o cenário mais grave surge do encadeamento: o atacante primeiro explora a CVE-2023-41266 para obter uma sessão anônima válida sem qualquer credencial, e em seguida usa essa sessão para acionar o tunneling da CVE-2023-41265 contra o repositório, chegando a execução de comandos no servidor. A CISA classifica a exploração como confirmada (entrada no KEV desde dezembro/2023) e há template Nuclei e PoC pública circulando, o que reduz bastante a complexidade prática do ataque para quem tem acesso de rede ao serviço.

O resultado final relatado por Qlik é comprometimento do servidor Windows que hospeda o Qlik Sense, incluindo potencial RCE quando as duas falhas são combinadas — não apenas leitura ou escalonamento pontual dentro da aplicação.

Atualizar para as versões corrigidas: August 2023 Initial Release, May 2023 Patch 4, February 2023 Patch 8, November 2022 Patch 11 ou August 2022 Patch 13, conforme o ramo de release em uso. O advisory do Qlik reforça aplicar sempre o patch mais recente disponível para a linha, e não apenas o mínimo listado.

Não há paliativo de configuração publicado pelo fornecedor para esta falha específica — a correção é o patch. Como a exploração prática de maior impacto depende do encadeamento com a CVE-2023-41266 (path traversal não autenticado), corrigir as duas simultaneamente é obrigatório; aplicar patch para uma e não para a outra deixa a cadeia de RCE parcialmente aberta. Restringir exposição do serviço à internet e segmentar a rede de gestão do Qlik Sense reduz a superfície de ataque enquanto o patch não é aplicado, mas não elimina o risco para quem já tem acesso interno à aplicação.

A CISA, por estar no catálogo KEV, exige que agências federais dos EUA apliquem a correção ou descontinuem o uso do produto — um sinal de que não existe mitigação compensatória aceita além do patch ou remoção do serviço vulnerável.

As fontes disponíveis não detalham assinaturas ou IOCs específicos publicados pelo Qlik ou pela CISA para esta CVE isoladamente. Como classe geral de vulnerabilidade (CWE-444, tunneling/smuggling HTTP), sinais a investigar em logs do proxy/frontend e do Qlik Repository Service incluem: requisições com cabeçalhos HTTP malformados, duplicados ou ambíguos (ex. Content-Length/Transfer-Encoding conflitantes ou incomuns), chamadas ao QRS originadas de sessões de baixo privilégio que resultam em ações administrativas, e picos de tráfego correlacionados com criação de sessões anônimas (indicativo de exploração combinada com CVE-2023-41266). A existência de template Nuclei público sugere que scanners automatizados testam o endpoint de forma padronizada, o que pode aparecer como requisições repetitivas com payload de tunneling contra o mesmo path do repositório.