CVE-2018-19410

Falha de Local File Inclusion (CWE-98/LFI) no PRTG Network Monitor da Paessler que permite a um atacante remoto e não autenticado criar uma conta com privilégios de administrador. O impacto é máximo porque o PRTG normalmente concentra credenciais de monitoramento de toda a infraestrutura de uma organização — comprometer o painel equivale a comprometer a visibilidade (e frequentemente o acesso) sobre a rede monitorada. Está no catálogo KEV da CISA, confirmando exploração real, mesmo sendo uma falha de 2018.

A página /public/login.htm do PRTG usa um mecanismo de template que resolve uma diretiva 'include' com base em parâmetros de requisição HTTP, sem validar adequadamente qual arquivo/endpoint interno está sendo referenciado. Um atacante consegue sobrescrever esse parâmetro para apontar para /api/addusers.htm — um endpoint interno de administração normalmente protegido por sessão autenticada — fazendo com que o servidor o processe como se tivesse sido chamado diretamente pelo fluxo autenticado.

O problema central é duplo: (1) falta de sanitização no parâmetro que controla o 'include', permitindo referenciar endpoints arbitrários da aplicação (LFI), e (2) o endpoint /api/addusers.htm confia na chamada recebida via include sem revalidar autenticação/sessão nesse contexto. Ao fornecer os parâmetros 'id' e 'users' esperados pelo handler de criação de usuários, o atacante consegue definir os dados da nova conta, incluindo nível de privilégio administrador.

O resultado é criação de conta com um único request HTTP, sem qualquer token de sessão, CSRF ou credencial prévia — daí o vetor de rede, sem privilégio e sem interação do usuário refletido no CVSS 9.8.

O vetor é uma requisição HTTP única contra a interface web do PRTG (por padrão nas portas de administração HTTP/HTTPS do produto), sem necessidade de autenticação, conta válida ou interação de usuário. A complexidade é baixa: existe prova de conceito pública e template Nuclei para detecção/exploração automatizada, o que reduz a barreira técnica a praticamente zero para quem tem acesso de rede à interface.

O pré-requisito real — e o que qualifica o risco em cada ambiente — é exposição da interface web de administração do PRTG à rede de onde o atacante está (internet ou rede interna sem segmentação). Instalações que mantêm o console de administração acessível apenas via VPN ou rede de gestão restrita reduzem drasticamente a superfície, mesmo sem patch.

O desfecho da exploração é a criação de uma conta com privilégios de leitura-escrita, incluindo administrador, dentro do PRTG. A partir daí o atacante tem controle total do monitoramento (visualização de sensores, dispositivos, credenciais armazenadas para monitoramento de outros sistemas) e pode usar essa posição para reconhecimento amplo da infraestrutura ou como ponto de partida para movimento lateral. A entrada no catálogo KEV da CISA confirma exploração ativa observada, embora o próprio catálogo marque como 'desconhecido' se está associada a campanhas de ransomware.

A correção do fornecedor está na atualização do PRTG para 18.2.40.1683 ou posterior, conforme a própria descrição da CVE. A CISA, ao incluir a falha no KEV, referencia o changelog do PRTG na versão 18.2.41.1652 como ponto de checagem — na prática, recomenda-se rodar a versão mais atual disponível do PRTG 18, não apenas a mínima que 'fecha' a CVE, já que o produto recebeu ajustes adicionais em versões subsequentes do mesmo ramo.

Se a atualização imediata não for possível, o controle compensatório real é restringir o acesso de rede à interface web de administração do PRTG — colocá-la atrás de VPN, ACL de firewall ou rede de gestão isolada, nunca exposta diretamente à internet. Monitorar a lista de usuários do PRTG por contas criadas fora do processo normal de onboarding também serve como detecção tardia, não como prevenção.

Não funciona como mitigação: apenas trocar a senha do administrador padrão ou desabilitar a conta 'admin' padrão, pois o ataque cria uma conta nova com privilégios de administrador — o problema não depende de credenciais previamente conhecidas.

Procurar em logs de acesso web do PRTG por requisições GET/POST para /public/login.htm contendo parâmetros que tentem sobrescrever a diretiva de include para referenciar /api/addusers.htm, especialmente quando acompanhadas dos parâmetros 'id' e 'users' e originadas sem sessão/cookie de autenticação válido previamente estabelecido. Como existe template Nuclei público, tráfego de scanners automatizados testando esse padrão é comum e não indica necessariamente comprometimento — mas requisições bem-sucedidas seguidas do aparecimento de uma nova conta com privilégio administrador na lista de usuários do PRTG, sem correspondência a um processo de criação interno, é o sinal mais confiável de exploração efetiva.