CVE-2018-14839

Falha de injeção de comandos do sistema operacional (CWE-78) no NAS LG N1A1, firmware 3718.510, explorável via requisição HTTP POST sem autenticação. Está no catálogo KEV da CISA com exploração confirmada em campo, o que eleva sua relevância prática muito além do que a descrição seca do fornecedor sugere — é um dispositivo de armazenamento doméstico/SOHO exposto à internet virando execução remota de código completa.

A vulnerabilidade é uma injeção de comando OS (CWE-78) na interface de gerenciamento web do NAS. O vetor CVSS (AV:N/AC:L/PR:N/UI:N) e a descrição do fornecedor confirmam que a exploração ocorre via HTTP POST com parâmetros — ou seja, algum campo de formulário processado pelo backend do dispositivo é concatenado, sem sanitização, a um comando de shell executado no sistema subjacente (tipicamente BusyBox/Linux embarcado, comum em NAS de baixo custo).

Não foi possível confirmar nas fontes disponíveis qual endpoint específico da interface web e qual parâmetro exato carregam a falha, nem detalhes de como os metacaracteres de shell escapam a filtragem. Essa ausência de informação é deliberada: o writeup técnico completo (Medium, 0x616163) não pôde ser lido com detalhe suficiente para reproduzir o caminho de código com segurança, e nenhuma outra fonte técnica detalhada foi localizada.

O que se sabe com confiança, a partir de dados oficiais: não há necessidade de autenticação (PR:N) nem interação do usuário (UI:N), o impacto é total em confidencialidade, integridade e disponibilidade (C:H/I:H/A:H), e o serviço vulnerável roda com privilégios suficientes para executar comandos arbitrários no sistema operacional do NAS.

O ataque consiste em enviar uma requisição HTTP POST à interface de gerenciamento web do dispositivo com parâmetros manipulados para injetar comandos de shell. Como não há autenticação exigida, o único pré-requisito real é acesso de rede à interface administrativa do NAS — o que torna dispositivos expostos diretamente à internet (port forwarding, UPnP, gerenciamento remoto habilitado) o cenário de risco crítico. Em redes internas, o risco depende de um atacante já ter alcançado a mesma LAN ou VLAN do dispositivo.

A presença no catálogo KEV da CISA (adicionada em 25/03/2022) confirma exploração ativa documentada, não apenas teórica. Isso é relevante porque muitos dispositivos LG N1A1 remanescentes em uso doméstico ou de pequenas empresas provavelmente nunca receberão atenção de patch, tornando-os alvo persistente para varreduras automatizadas de botnets IoT que buscam RCE não autenticado.

O resultado da exploração é execução de comando arbitrário com os privilégios do processo de gerenciamento web — na prática, controle total do dispositivo, possibilidade de exfiltrar dados armazenados, pivotear para a rede interna, ou incorporar o NAS a uma botnet.

Nenhuma versão de firmware corrigida foi identificada nas fontes disponíveis. A recomendação genérica da CISA no KEV ('aplicar atualizações conforme instruções do fornecedor') pressupõe a existência de um patch oficial, mas não há advisory do fabricante localizado que confirme uma versão corrigida — trate essa lacuna como sinal de que o produto pode estar sem suporte ativo.

Se não há patch disponível, o controle compensatório real é isolamento de rede: remover o NAS do acesso direto à internet, desabilitar qualquer recurso de gerenciamento remoto/UPnP, e restringir o acesso à interface web apenas a hosts de gerência confiáveis via firewall ou segmentação de VLAN. Trocar a senha padrão não mitiga esta falha, já que a exploração não depende de autenticação.

Se o dispositivo estiver fim de vida e sem atualização de segurança do fornecedor, a mitigação mais efetiva é a substituição do equipamento — não há WAF ou regra de borda genérica que substitua com confiança a correção de uma injeção de comando em firmware embarcado fechado, dada a falta de documentação pública do payload exato explorado.

Nas fontes disponíveis não há assinatura, endpoint ou parâmetro específico documentado, o que impede indicar um padrão de log confiável e verificado. Como orientação geral aplicável a este tipo de falha (injeção de comando via POST em interface web de NAS embarcado), vale monitorar: requisições POST à interface de administração contendo metacaracteres de shell (`;`, `|`, `` ` ``, `$(`, `&&`) em campos de formulário; processos de shell (`sh`, `busybox`) sendo gerados como filhos do processo do servidor web do dispositivo; e tráfego de saída anômalo originado do NAS após uma requisição POST suspeita, indicando possível callback ou exfiltração pós-exploração.