CVE-2023-43208

Mirth Connect, plataforma open source de integração de dados hospitalares da NextGen Healthcare, permite execução remota de código não autenticada através de uma falha de deserialização Java (XStream). A CVE-2023-43208 existe porque o patch da CVE-2023-37679 (lançado na versão 4.4.0) foi incompleto: o fornecedor descreveu a falha original como restrita a instalações rodando Java 8 ou anterior, mas pesquisadores da Horizon3.ai demonstraram que todas as instalações, independente da versão do Java, continuavam vulneráveis e que o próprio patch podia ser contornado. Importa porque o produto costuma rodar como SYSTEM no Windows e tem exposição relevante na internet em ambientes de saúde — CVSS 9.8 é fiel ao risco real aqui, sem pré-condições que reduzam o impacto.

A causa raiz é CWE-502 (Deserialization of Untrusted Data). Mirth Connect expõe endpoints administrativos que aceitam objetos serializados via XStream (biblioteca Java para conversão XML↔objeto) sem validação adequada de allow-list de classes. Um atacante que controla o conteúdo XML enviado a esses endpoints pode instanciar gadget chains conhecidos do ecossistema Java para forçar execução arbitrária de código no momento da deserialização.

A CVE-2023-37679, reportada pela IHTeam, já explorava esse mesmo mecanismo. O fix lançado em 4.4.0 restringiu a exploração apenas para o cenário descrito nas release notes do fornecedor (Java 8 ou inferior), mas a Horizon3.ai encontrou que a superfície de ataque persistia em qualquer versão de Java e que o filtro/validação aplicado no patch podia ser evitado — daí a nova CVE, atribuída à incompletude da correção anterior.

A Horizon3.ai verificou que instalações do Mirth Connect datadas de 2015/2016 já eram vulneráveis ao mecanismo subjacente, o que indica que o problema é estrutural no uso de XStream pelo produto, não um bug pontual introduzido recentemente.

O vetor é uma requisição HTTP única, sem autenticação, contendo um payload serializado malicioso enviado a um endpoint da API do Mirth Connect que realiza a deserialização vulnerável. Não há necessidade de credenciais, interação do usuário, nem configuração não padrão — a exposição da interface administrativa/API à rede (ou à internet) já é suficiente. A Horizon3.ai relata ter validado a execução de comandos (exemplo dado: `ping`) em host Windows, onde o processo do Mirth Connect roda tipicamente como usuário SYSTEM, o que dá ao atacante controle total do sistema operacional subjacente, não apenas da aplicação.

A Horizon3.ai optou por não publicar exploit funcional no momento da divulgação, mas afirma que a técnica de exploração via XStream é bem documentada publicamente. Posteriormente circularam PoCs públicas, módulo Metasploit e template Nuclei, o que baixou a barreira técnica para exploração em massa — consistente com a entrada da CVE no catálogo KEV da CISA em maio de 2024, indicando exploração confirmada em ambiente real.

O resultado final é RCE completo no host, com potencial para acesso a dados sensíveis de saúde processados pela plataforma de integração e uso como ponto de entrada para movimento lateral, especialmente relevante dado o histórico de ransomware contra o setor de saúde citado pela Horizon3.ai.

A correção definitiva é atualizar para a versão 4.4.1 do Mirth Connect. Atualizar apenas para 4.4.0 (o patch da CVE-2023-37679) não é suficiente — é exatamente esse patch incompleto que a CVE-2023-43208 explora, então ambientes que aplicaram só a correção anterior permanecem vulneráveis e podem ter falsa sensação de segurança.

Se a atualização imediata não for possível, a CISA KEV recomenda aplicar mitigações do fornecedor ou descontinuar o uso do produto — não há paliativo de configuração documentado pelas fontes consultadas além de restringir a exposição de rede (remover a interface administrativa/API do Mirth Connect do acesso direto à internet, isolando-a atrás de VPN ou controle de acesso de rede) enquanto o patch não é aplicado. Isso reduz a superfície de ataque mas não elimina o risco de quem já tem acesso à rede interna.

Dado que a plataforma frequentemente roda como SYSTEM no Windows, revisar o nível de privilégio do serviço é um controle compensatório adicional, embora não substitua o patch.

É possível identificar a versão exposta do servidor com uma requisição simples à API: `curl -k -H 'X-Requested-With: OpenAPI' https://:/api/server/version`. Qualquer resposta indicando versão anterior à 4.4.1 sinaliza instalação exploitável, segundo a Horizon3.ai.

Para detecção de tentativa de exploração, procurar em logs de acesso requisições HTTP para endpoints administrativos/API do Mirth Connect contendo payloads XML incomuns (estruturas típicas de gadget chains XStream) e correlacionar com processos filhos anômalos gerados pelo serviço do Mirth Connect (execução de shell, cmd.exe, powershell ou binários fora do padrão da aplicação), especialmente quando o serviço roda como SYSTEM. As fontes não descrevem uma assinatura de rede única e confiável além disso — a existência de módulo Metasploit e template Nuclei sugere variações de payload que dificultam uma assinatura estática única.