Buenas tardes Comunidad,
Lo primero que debo decir, es que esto me llegó por un compañero de la comunidad y me ayudó (me ahorró) unas cuantas horas de entenderlo, investigarlo, verificarlo y solucionarlo. No quiere salir en los créditos, él sabe quien es y vaya mi agradecimiento para él. Este es el espiritú que queremos tener en nuestra comunidad, ayudarnos y que mejor ejemplo que este.
Vamos al caso (intentaré ponerlo en orden)
- Nos enteramos de este potencial problema explicado en este KB: https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB1553688
- Una primer lectura te hace pensar en que tienes algún problema con las ACLs (al menos yo lo interpreté inicialmente así)
- Con la ayuda de nuestro héroe anónimo, quien también me avisó, y como llevaba más horas pegándose con esto, la conclusión es que el origen del problema es el widget Simple List que se usa en el Service Portal que está definido como "Public" y que no fuerza tener ningún "rol" para acceder a él, es decir, puedes usarlo sin hacer loggin sin restricciones
- Esto abre la puerta a que algún listo pueda explotar esto y obtener algunos datos de tablas
- El problema está explicado aquí: https://www.enumerated.ie/index/servicenow-data-exposure
- Existe una herramienta en Python para ver si eres vulnerable aqui: https://github.com/bsysop/servicenow
- Ejecutando el código python (es muy simple, basta que pongas las URL de la instancia que quieras verificar) te devolveré si eres vulnerable y que tablas están expuestas, que campo
- Luego, el fix (hay varios) pero el más immediato es hacer el Simple List widget "no publico", editándolo y quitando el check
Verificacion
Vuelves a ejecutar el código python y verás que ya no eres vulnerable.
Algun paso extra
Revisa que en la tabla "sp_rel_widget_clone_list" no tengas un clone del widget. Si lo tienes, tendrás que hacer lo mismo. Pero claro, si lo tienes, significa que lo estás usando y posiblemente "si quieres" que esos datos sean accesibles por un usario sin hacer login. Es lo primero que comenta el KB. Por tanto, antes de tomar la acción, revisa bien cual es tu situación.
Algunos pensamientos
Nos pensamos si publicar o no este artículo. Por un lado no queríamos generar "alarma social", pero por otro, creiamos que era una buena ocasión de compartir algo útil, que puede ahorrar a muchos de vosotros tiempo y dolores de cabeza.
No pretende este artículo ser la solución definitiva, pero si un primer fix de acción rápida en el caso que estés afectado y quieras, primero frenar cualquier problema y luego analizarlo con calma.
Esperamos (en plural, mi "amigo invisible" quien es el verdadero crack que me ayudó en esto y yo) que os sirva este artículo.
Como siempre, cualquier comentario es bienvenido!
Suerte, aplicar el fix si estáis afectados y buena semana!
Saludos,
Ariel
@arielgritti - Hope you dont mind, but I translated into english (thanks Chrome Extension!)
Transcribed here:
"Good afternoon Community,
The first thing I must say is that this came to me from a community member and it helped (saved me) a few hours of understanding it, researching it, verifying it and solving it. He doesn't want to appear in the credits, he knows who he is and my thanks go to him. This is the spirit that we want to have in our community, help each other and what better example than this."
Let's get to the point (I'll try to put it in order)
- We became aware of this potential issue explained in this KB: https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB1553688
- A first reading makes you think that you have some problem with the ACLs (at least I initially interpreted it that way)
- With the help of our anonymous hero, who also warned me, and since he had been sticking with this for more hours, the conclusion is that the source of the problem is the Simple List widget that is used in the Service Portal, which is defined as "Public" and that does not require you to have any "role" to access it, that is, you can use it without logging in without restrictions
- This opens the door for someone clever to exploit this and get some table data
- The problem is explained here: https://www.enumerated.ie/index/servicenow-data-exposure
- There is a Python tool to see if you are vulnerable here: https://github.com/bsysop/servicenow
- By running the python code (it is very simple, just enter the URLs of the instance you want to verify) I will tell you if you are vulnerable and which tables are exposed, which field
- Then, the fix (there are several) but the most immediate is to make the Simple List widget "non-public", editing it and removing the check
Check
You run the python code again and you will see that you are no longer vulnerable.
Any extra steps
“Check that in the "sp_rel_widget_clone_list" table you do not have a clone of the widget. If you have it, you will have to do the same. But of course, if you have it, it means that you are using it and possibly "if you want" that data to be accessible by a user without logging in. It's the first thing the KB comments on. Therefore, before taking action, check your situation carefully.”
Some thoughts
“We are thinking about whether or not to publish this article. On the one hand we did not want to generate "social alarm", but on the other, we believed that it was a good opportunity to share something useful, which can save many of you time and headaches.
This article is not intended to be the definitive solution, but it is a first quick-action fix in case you are affected and want to first stop any problem and then analyze it calmly.
We hope (in plural, my "invisible friend" who is the real genius who helped me in this and I) that this article is useful to you.
As always, any comments are welcome!
Good luck, apply the fix if you are affected and have a good week!
Greetings,
Ariel”
