Deserialization Vulnerability in GoAnywhere MFT's License Servlet

Vulnerabilidade de deserialização no License Servlet do GoAnywhere MFT (Fortra) que pode levar à execução de comandos no servidor. Está no catálogo KEV da CISA com exploração confirmada e CVSS 10.0, mas a exploração exige uma pré-condição específica — o atacante precisa apresentar uma assinatura de resposta de licença validamente forjada — que não é trivial e não está detalhada nas fontes oficiais disponíveis.

A falha (CWE-502, Deserialization of Untrusted Data) está no componente License Servlet do GoAnywhere MFT. Segundo o texto oficial do fornecedor e da entrada CISA KEV, um ator que consiga produzir uma 'resposta de licença' com assinatura válida (validamente forjada) pode fazer o servlet desserializar um objeto arbitrário controlado pelo atacante. Isso é uma cadeia clássica de deserialização insegura em Java: o servidor confia em dados assinados e os passa para um processo de deserialização sem validação suficiente de tipo/conteúdo.

A CISA classifica a falha também sob CWE-77 (Command Injection), indicando que a cadeia de exploração, a partir do objeto desserializado, permite influenciar a execução de comandos no sistema operacional subjacente — o desfecho mais grave do bug.

As fontes que temos não descrevem o mecanismo exato de como a assinatura de licença é forjada (se depende de uma chave exposta, de um segredo padrão, ou de outra falha auxiliar). Essa lacuna é relevante: o vetor CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) sugere ataque de rede simples sem autenticação, mas o próprio texto da vulnerabilidade condiciona a exploração à posse de uma assinatura forjada válida — ou seja, há um pré-requisito técnico não trivial que a pontuação CVSS, isolada, não deixa claro.

O vetor de ataque é de rede, sem exigência de autenticação prévia na aplicação (PR:N) e sem interação do usuário (UI:N), segundo o CVSS publicado. Na prática, o atacante precisa enviar ao License Servlet uma resposta de licença com assinatura que o servidor valide como legítima; a partir daí, o payload de deserialização é processado e pode desencadear injeção de comando.

A vulnerabilidade consta no catálogo KEV da CISA (adicionada em 29/09/2025, prazo de mitigação até 20/10/2025), o que confirma exploração ativa observada em ambientes reais — não é uma falha apenas teórica. A existência de template Nuclei e PoC pública indica que o caminho de exploração já está automatizado e replicável por terceiros, reduzindo a barreira técnica para atacantes menos sofisticados.

As fontes disponíveis não detalham como grupos de ataque obtêm ou forjam a assinatura de licença necessária — esse é o passo crítico da cadeia e, sem ele, a exploração remota não avança. Qualquer avaliação de risco deve considerar se a instância expõe o License Servlet à internet, já que isso é o que determina a superfície de ataque real.

A CISA recomenda aplicar as mitigações conforme instruções do fornecedor (Fortra) ou, na ausência de mitigação viável, descontinuar o uso do produto — orientação genérica do próprio registro KEV, sem detalhamento de versão corrigida nas fontes que consultamos. O advisory oficial da Fortra (FI-2025-012) deve ser a fonte primária para a versão exata que corrige a falha; não temos, nas fontes lidas, o número de versão afetada nem o número da versão corrigida, e não vamos especulá-los.

Como controle compensatório imediato, restringir o acesso de rede ao License Servlet — via firewall, segmentação ou desabilitação do endpoint quando não utilizado — reduz a superfície de exploração enquanto a atualização não é aplicada. Isso não elimina a falha, apenas limita quem pode alcançá-la.

Dado o prazo definido pela CISA (20/10/2025) para agências federais dos EUA sob BOD 22-01, e a gravidade (CVSS 10.0, exploração ativa confirmada), a prioridade operacional é alta para qualquer organização que exponha GoAnywhere MFT à internet ou a redes não confiáveis.

Não há, nas fontes consultadas, indicadores de comprometimento (assinaturas de log, padrões de requisição) publicados oficialmente para esta CVE. A existência de template Nuclei sugere que ferramentas de scanning já detectam a exposição do License Servlet vulnerável, mas isso indica exposição, não necessariamente tentativa de exploração ativa.

Como orientação geral, monitorar logs de acesso ao endpoint do License Servlet do GoAnywhere MFT por requisições anômalas ou repetidas, e correlacionar com execução inesperada de processos no host (dado o desfecho de command injection classificado como CWE-77), é a abordagem mais razoável até que o fornecedor ou pesquisadores publiquem IOCs específicos.