Los investigadores descubren más de 20 riesgos de configuración, incluidos cinco CVE, en Salesforce Industry Cloud

AppOmni encontró más de 20 riesgos de configuración en Salesforce Industry Cloud, cinco de ellos con CVE, que podían exponer datos cifrados de clientes y empleados, sesiones y credenciales. Salesforce resolvió los problemas, pero dos de las correcciones exigen que cada cliente active una nueva opción de seguridad.

Investigadores de AppOmni identificaron más de 20 riesgos derivados de configuraciones incorrectas en Salesforce Industry Cloud, también llamado Salesforce Industries. Las debilidades estaban en componentes de bajo código como FlexCards, Data Mappers, Integration Procedures, Data Packs, OmniOut y OmniScript Saved Sessions, y podían dejar al alcance de usuarios internos o externos sin autorización datos cifrados de empleados y clientes, información de sesiones, credenciales de Salesforce y de otros sistemas, y lógica de negocio. Salesforce corrigió los problemas tras la divulgación responsable y publicó guías de configuración para el resto.

Los cinco CVE

Las vulnerabilidades con identificador asignado comparten un patrón: controles de permisos que existen pero no se aplican.

• CVE-2025-43697 (CVSS 7.5): si "Check Field Level Security" no está activo en los Data Mappers de tipo Extract y Turbo Extract, no se verifica el permiso "View Encrypted Data" y los campos cifrados se muestran en texto claro a quien tenga acceso al registro.
• CVE-2025-43698 (CVSS 9.1): la fuente de datos SOQL ignora la seguridad a nivel de campo al leer objetos de Salesforce.
• CVE-2025-43699 (CVSS 5.3): FlexCard no aplica el campo "Required Permissions" del objeto OmniUlCard.
• CVE-2025-43700 (CVSS 7.5): FlexCard no aplica "View Encrypted Data" y devuelve en texto plano los datos con cifrado clásico.
• CVE-2025-43701 (CVSS 7.5): FlexCard permite a usuarios invitados leer valores de Custom Settings.

Para CVE-2025-43697 y CVE-2025-43698, la corrección es una nueva configuración llamada "EnforceDMFLSAndDataEncryption", que el cliente debe habilitar para que solo quienes tengan "View Encrypted Data" vean los valores en claro que devuelve un Data Mapper.

Responsabilidad compartida, en la práctica

Aaron Costello, jefe de investigación de seguridad SaaS en AppOmni, apuntó al costo oculto del bajo código: crear aplicaciones es fácil, pero la seguridad queda en manos de quien configura. AppOmni agregó que, para organizaciones bajo HIPAA, GDPR, SOX o PCI-DSS, un solo ajuste omitido puede filtrar miles de registros sin que el proveedor sea responsable. Salesforce sostuvo que la mayoría de los problemas provienen de configuraciones de los clientes, que todos fueron resueltos y que no observó explotación en entornos de clientes.

Una inyección SOQL aparte

En paralelo, el investigador Tobia Righi (MasterSplinter) divulgó una inyección SOQL de día cero, sin CVE, en un controlador Aura predeterminado presente en todas las implementaciones de Salesforce. El parámetro "contentDocumentId" se incrustaba sin sanitizar en la acción getCsvAutoMap del controlador CsvDataImportResourceFamilyController, lo que permitía agregar consultas y extraer contenido de la base. Righi mostró además que el ataque podía ampliarse con listas de IDs de documentos no públicos, generados con un script público de fuerza bruta, porque los IDs de Salesforce son relativamente predecibles. Salesforce dijo haberlo resuelto de inmediato, sin evidencia de explotación.

Por qué importa y qué hacer

Salesforce Industries maneja datos de clientes y empleados que muchas veces están regulados. Que un parche exista no significa que esté aplicado: dos de estas correcciones dependen de que alguien active una opción, y el resto de los hallazgos son configuraciones que cada organización tiene que revisar. Los IDs predecibles y los usuarios invitados con acceso a Custom Settings son el tipo de exposición que pasa inadvertida durante años.

• Habilita "EnforceDMFLSAndDataEncryption" en todas las organizaciones que usen Data Mappers.
• Activa "Check Field Level Security" en los Data Mappers Extract y Turbo Extract.
• Revisa qué FlexCards son accesibles para usuarios invitados y qué Custom Settings exponen.
• Audita quién tiene el permiso "View Encrypted Data" y retíralo donde no haga falta.
• Aplica las guías de configuración publicadas por Salesforce para los hallazgos sin CVE.

Relacionado:
Ataques de PHP2Shell iniciaron cuatro días antes de la divulgación pública
AWS lanza un entorno de pruebas de código abierto para agentes de IA
Filtración de datos en McGraw Hill afecta a 13.5 millones de cuentas

Fuente:
https://thehackernews.com/2025/06/researchers-uncover-20-configuration.html

Nota elaborada por Ciberseguridad en español a partir de información publicada por The Hacker News. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.