CVE-2019-4716

Falha crítica no TM1 Application Server do IBM Planning Analytics (ex-Cognos TM1) que permite a um atacante sem qualquer credencial sobrescrever a configuração do servidor via seu protocolo binário proprietário, forjar uma autenticação como usuário "admin" e, a partir daí, executar comandos arbitrários no sistema operacional (root em Linux, SYSTEM em Windows) usando a linguagem de scripting TI do TM1. O CVSS 10.0 aqui é justificado: não há pré-condição de configuração especial, autenticação ou interação do usuário — basta alcançar a porta do Application Server na rede.

TM1 usa dois componentes, Admin Server e Application Server(s), que se comunicam por um protocolo binário proprietário (além de uma API REST opcional). O pesquisador Pedro Ribeiro documentou esse protocolo: pacotes com cabeçalho fixo, um campo message_type que seleciona o método remoto invocado, e um payload serializado em tipos primitivos (string, index, boolean, object pointer, array, UTF8 string, binary string). Esse protocolo binário está habilitado por padrão na instalação e não exige autenticação para todas as chamadas.

A vulnerabilidade central é um configuration overwrite (CWE-94, code injection, conforme classificação da CISA): um método remoto acessível pré-autenticação permite gravar/alterar a configuração do Application Server sem validar que o chamador está autenticado. Manipulando essa configuração, o atacante consegue efetivamente "fake authenticate" — obter uma sessão válida como admin sem conhecer credencial alguma, replicando a estrutura do pacote de autenticação legítimo (usuário, senha codificada, application_name, client_ip) mas explorando a falta de checagem de autorização na camada de configuração.

Com sessão de admin obtida, o atacante usa TM1 scripting (TI - Turbo Integrator processes) para atingir execução de código no SO subjacente. TI processes suportam funções que interagem com o sistema, e um admin autenticado tem controle total sobre a criação e execução desses processos no servidor, o que se traduz em RCE com os privilégios do processo TM1 — tipicamente root em Linux e SYSTEM em Windows, já que o serviço costuma rodar com privilégios elevados.

O pesquisador confirmou a exploração funcional em versões TM1 até pelo menos 10.2.2 (lançada em 2014), e suspeita que versões ainda mais antigas, possivelmente a partir da série 8.x, também sejam vulneráveis — embora a IBM só tenha catalogado oficialmente a faixa 2.0.0–2.0.8 no advisory formal desta CVE.

O vetor é de rede, contra a porta do TM1 Application Server (protocolo binário, habilitado por padrão). Não exige autenticação prévia, não exige interação do usuário, e não depende de configuração não padrão — é essencialmente o cenário de exposição padrão do produto. O CVSS vector confirma isso: AV:N/AC:L/PR:N/UI:N.

O fluxo prático é: (1) o atacante envia mensagens no protocolo binário do TM1 que abusam da ausência de checagem de autorização para sobrescrever parâmetros de configuração do Application Server; (2) essa sobrescrita permite montar uma sessão autenticada como "admin" sem senha válida; (3) com a sessão de admin, o atacante cria/executa um processo TI (TM1 scripting) que dispara comandos no sistema operacional subjacente, resultando em execução arbitrária como root/SYSTEM.

Existe exploração confirmada: a falha está no catálogo KEV da CISA (adicionada em 2021-11-03, prazo de correção 2022-05-03), há módulo público no Metasploit Framework (PR #13152) e PoC/advisório detalhado publicado por Pedro Ribeiro (Agile Information Security), com testes reais de terceiros confirmando funcionamento. Isso torna a exploração trivial para quem tem acesso de rede ao serviço — não é necessário reverse engineering do protocolo, já publicado.

A IBM recomenda atualizar para IBM Planning Analytics 2.0.9, lançada em 17/12/2019, que corrige a falha. O próprio boletim de segurança da IBM declara explicitamente "Workarounds and Mitigations: None" — não há flag de configuração, ACL ou parâmetro documentado pelo fornecedor que mitigue o problema sem atualizar.

Como controle compensatório real (não fornecido pelo vendor, mas decorrente da natureza do vetor), a única redução de risco efetiva antes de atualizar é impedir o acesso de rede à porta do TM1 Application Server a partir de origens não confiáveis — segmentação de rede, firewall restringindo a fonte, ou isolamento do serviço em rede interna sem exposição à internet. Isso não corrige a falha, apenas reduz a superfície de ataque; qualquer host com acesso à porta ainda pode explorar.

O pesquisador afirma que a exploração funciona em versões bem mais antigas que a faixa oficialmente reconhecida pela IBM (2.0.0–2.0.8), incluindo builds de 2014 e possivelmente anteriores. Se o ambiente roda uma versão TM1/Cognos anterior à série 2.0, tratar como potencialmente vulnerável até confirmação, já que o fornecedor não testou/declarou essas versões no advisório formal.

Não há assinatura de rede padronizada publicada pela IBM para detecção, mas o protocolo binário do TM1 (porta do Application Server) pode ser monitorado: pacotes de autenticação anômalos com objeto de aplicação/usuário "admin" originados de IPs/clientes fora do padrão operacional, seguidos de criação ou execução de processos TI (TM1 scripting) fora de janelas de manutenção usuais, são indício forte de exploração. O módulo Metasploit público e o template Nuclei existentes geram tráfego com estrutura de pacote reconhecível (sequência de bytes de cabeçalho fixo e message_type específico) que pode servir de base para regras de IDS/IPS voltadas a esse protocolo.

Na ausência de logging nativo de autenticação detalhado no TM1 para esse fluxo binário pré-autenticação, a detecção confiável depende de captura de tráfego de rede na porta do Application Server; monitoramento apenas de logs de aplicação pode não registrar a sobrescrita de configuração em si.