Command Injection vulnerability in Remote Support(RS) & Privilege Remote Access (PRA)

Falha de injeção de comando (CWE-78) no Privileged Remote Access (PRA) e Remote Support (RS) da BeyondTrust, que permite a um atacante que já possui privilégios administrativos no console injetar comandos do sistema operacional e executá-los como o usuário do site (site user). O CVSS moderado (6.6, AC:H) reflete que a exploração exige uma conta admin previamente comprometida — não é uma falha de acesso inicial —, mas está no catálogo KEV da CISA por exploração ativa confirmada.

A vulnerabilidade é uma injeção de comandos do sistema operacional (CWE-78): algum componente do PRA/RS aceita entrada controlada por um usuário administrativo e a passa, sem sanitização adequada, para uma chamada de shell ou processo do sistema. O vetor documentado pela CISA no KEV é o upload de um arquivo malicioso pelo painel administrativo — o conteúdo ou metadados desse arquivo são interpretados posteriormente como comando pelo backend.

O atacante precisa controlar o conteúdo do arquivo enviado (ou parâmetro equivalente processado no upload) para embutir sintaxe de shell que escapa do contexto esperado. A execução resultante ocorre no contexto do 'site user' — a conta de serviço/processo que opera o site PRA/RS — não necessariamente com privilégios de root/SYSTEM, mas ainda assim capaz de comprometer confidencialidade, integridade e disponibilidade (C:H/I:H/A:H no CVSS).

Há divergência de severidade entre fornecedor e NVD: a BeyondTrust classificou a complexidade de ataque como alta (AC:H, score 6.6), enquanto o NVD reavaliou como AC:L (score 7.2, HIGH), o que sugere visões diferentes sobre quão trivial é a exploração uma vez obtida a credencial administrativa.

O pré-requisito central — e o dado mais importante desta CVE — é que o atacante já precisa ter privilégios administrativos existentes no console PRA/RS. Isso descarta cenários de comprometimento remoto não autenticado: o vetor de entrada aqui é abuso de uma conta admin (legítima, comprometida por phishing/credential stuffing, ou obtida por outra falha) para escalar de 'administrador da plataforma' para 'execução de comando no sistema operacional subjacente'.

A técnica descrita pela CISA é o upload de um arquivo malicioso através da interface administrativa, que, ao ser processado pelo backend, resulta em execução de comandos no contexto do site user. Não há indicação de interação do usuário final (UI:N) nem de rede complexa alem do acesso administrativo — a complexidade declarada pelo fornecedor (AC:H) provavelmente está relacionada a condições específicas de configuração ou timing do processamento do upload, não detalhadas publicamente.

A CVE está no catálogo KEV da CISA com status de exploração ativa confirmada (SSVC 'exploitation: active'), adicionada em 13/01/2025 com prazo de mitigação até 03/02/2025 para agências federais dos EUA. Não há detalhamento público sobre o ator ou campanha responsável nas fontes analisadas.

A BeyondTrust classifica todas as versões até 24.3.1 (inclusive) como afetadas. O advisory oficial (BT24-11) deve ser consultado para a versão exata de correção — essa informação não estava disponível no conteúdo lido para esta página, portanto não pode ser afirmada aqui; verifique o link do advisory antes de assumir qualquer build como segura.

Como controle compensatório imediato e independente de patch: restrinja e monitore rigoramente as contas com privilégios administrativos no PRA/RS — MFA obrigatório, revisão de contas admin ativas, e log de todas as ações de upload de arquivo feitas por administradores. Como a exploração depende de uma conta admin já comprometida, higiene de credenciais administrativas (rotação, princípio de menor privilégio, segmentação de quem tem acesso ao console) reduz a superfície de forma mais efetiva do que qualquer regra de WAF, já que a interação ocorre dentro do console autenticado da própria plataforma.

A CISA recomenda aplicar as mitigações do fornecedor ou descontinuar o uso do produto caso não existam mitigações disponíveis — uma indicação de que, para quem não pode atualizar, a alternativa real é desligar o componente vulnerável, não apenas restringir acesso.

Não há assinatura pública detalhada de exploração nas fontes analisadas. Como indicador prático, monitore logs de auditoria administrativa do PRA/RS por uploads de arquivo realizados por contas admin fora do padrão operacional esperado (tipo de arquivo inusual, nome/extensão anômala, horário atípico), seguidos de comportamento inesperado do processo de site user (spawns de shell, conexões de saída não usuais, criação de arquivos/processos fora do diretório de trabalho normal). Na ausência de IOCs publicados pela BeyondTrust ou CISA, a correlação entre ações administrativas de upload e execução de processo é o sinal mais confiável disponível.