CVE-2019-7256

Os controladores de acesso físico Linear eMerge E3-Series (fabricados originalmente pela Linear, hoje sob a marca Nice) possuem múltiplas falhas de injeção de comandos OS (CWE-78) em endpoints web administrativos, permitindo execução remota de código sem autenticação. A CVE está no catálogo KEV da CISA com exploração confirmada em campo, tem módulo Metasploit e PoCs públicos — é um caso raro em que o CVSS 9.8 reflete corretamente a gravidade real, dado que o vetor não exige autenticação nem interação do usuário.

A falha é uma injeção de comandos de sistema operacional (CWE-78) na interface web de administração do eMerge E3, um controlador de acesso físico (crachás/portas) baseado em Linux embarcado que expõe scripts PHP para operações administrativas. Pesquisadores documentaram publicamente pelo menos dois endpoints vulneráveis — card_scan.php e card_scan_decoder.php — em que parâmetros de entrada são concatenados diretamente em chamadas de shell no backend sem sanitização, permitindo que o atacante anexe comandos arbitrários que são executados com os privilégios do processo web (tipicamente root ou usuário privilegiado em dispositivos embarcados desse tipo).

O caráter do dispositivo agrava o impacto: é um controlador de acesso físico, então RCE nele significa não só comprometimento de rede como possibilidade de manipulação de fechaduras, logs de acesso e cadastro de credenciais/crachás — pivô direto entre o mundo cibernético e o físico.

A descrição oficial do fornecedor (via advisory da Applied Risk, AR-2019-005) é genérica ('allows Command Injections'), sem detalhar todos os pontos de injeção; o conjunto de PoCs publicados no Packet Storm ao longo dos anos (2019 e revisões posteriores em 2019 e 2023) sugere que a superfície de injeção é mais ampla do que um único endpoint, com variantes reportadas contra diferentes scripts do painel administrativo.

O vetor é rede (AV:N), sem necessidade de autenticação (PR:N) e sem interação do usuário (UI:N) — a exploração ocorre via requisições HTTP diretas aos endpoints vulneráveis do painel web do eMerge E3, tipicamente expostos na porta de administração do dispositivo. Não há pré-condição de configuração não padrão conhecida: o painel administrativo, por natureza do produto, roda por padrão para gestão do controlador.

A principal exigência prática é alcance de rede até a interface de gerenciamento do dispositivo — em ambientes onde esses controladores são expostos direta ou indiretamente à internet (o que ocorreu e foi documentado em internet scanning/Shodan ao longo dos anos), a exploração é trivial e automatizável, daí a existência de módulo Metasploit e templates Nuclei. O resultado final é execução de comando arbitrário no sistema operacional do controlador, dando ao atacante controle total do dispositivo — persistência, manipulação de logs de acesso físico, e possível uso do controlador como pivô para a rede interna.

A presença no catálogo KEV da CISA (adicionada em 2024, com prazo de mitigação vencido em abril de 2024) confirma exploração ativa documentada, mesmo a CVE datando de 2019 — indicando campanhas de exploração em dispositivos legados e não corrigidos que permanecem expostos.

A CISA recomenda, na ausência de patch claro e único, contatar o fornecedor (Nice/Linear) para orientação de remediação de firmware conforme o advisory do fabricante — não há, nas fontes consultadas, um número de versão fixa confirmado para esta CVE especificamente. O fornecedor publicou um boletim próprio (E3-Bulletin, 27/06/2023) e a CISA emitiu o advisory ICS ICSA-24-065-01 tratando desses controladores, mas o conteúdo detalhado de versões corrigidas não foi verificado nas fontes lidas para esta página — não informe versão de correção sem consultar diretamente esses dois documentos antes de fechar um plano de remediação.

Como paliativo real: jamais expor a interface administrativa do eMerge E3 diretamente à internet; restringir acesso à porta de gerenciamento via segmentação de rede/VLAN dedicada a controle de acesso físico, com firewall permitindo apenas IPs de administração conhecidos; monitorar e, se possível, desligar temporariamente scripts/endpoints administrativos não essenciais até confirmação de patch. Não existe mitigação via WAF genérico confiável documentada nas fontes — a superfície de injeção é ampla (múltiplos scripts PHP), e regras de bloqueio específicas tendem a ser contornáveis.

O que NÃO funciona: assumir que a vulnerabilidade foi resolvida só porque a CVE é de 2019 — o próprio catálogo KEV foi atualizado em 2024 com exploração ativa confirmada, evidenciando que dispositivos vulneráveis ainda operam em produção sem correção.

Não há assinatura de detecção oficial publicada e confirmada nas fontes consultadas. Como indício prático, procure em logs de acesso web do controlador (ou de proxy/firewall na frente dele) requisições HTTP para os scripts card_scan.php e card_scan_decoder.php contendo metacaracteres de shell (ponto e vírgula, pipe, backticks, cifrão-parênteses) nos parâmetros — esses dois endpoints são os documentados publicamente em PoCs. A ausência de logging nativo detalhado nesses dispositivos embarcados é comum, então a detecção confiável tende a depender de monitoramento de rede externo (IDS/proxy) e não do próprio equipamento.