CVE-2020-4428

Falha de injeção de comando (CWE-78) no IBM Data Risk Manager que permite a um atacante autenticado executar comandos arbitrários no sistema operacional subjacente. A gravidade real do CVSS 9.1 só se materializa em cadeia com CVE-2020-4429 (senha padrão hardcoded para conta administrativa do IDRM), que dá a um atacante remoto sem credenciais válidas o acesso privilegiado necessário para disparar esta falha — por isso está no catálogo KEV da CISA e tem módulo Metasploit público.

O IBM Data Risk Manager (IDRM) expõe uma interface administrativa web que, em algum ponto de sua lógica de configuração ou processamento de dados, passa entrada controlada pelo usuário autenticado para uma chamada de sistema sem sanitização adequada — o padrão clássico de CWE-78 (OS Command Injection). O boletim de segurança da IBM não detalha o endpoint ou parâmetro exato; a descrição pública se limita a confirmar que um 'atacante remoto autenticado pode executar comandos arbitrários no sistema'.

O vetor CVSS (AC:L, PR:H, S:C) indica que a exploração é de baixa complexidade técnica, mas exige privilégios altos (PR:H) — ou seja, uma conta com permissões administrativas ou equivalentes dentro do IDRM. Não é uma falha exposta a qualquer usuário autenticado com privilégio mínimo.

A mudança de scope (S:C) no vetor CVSS indica que o impacto se estende além do componente vulnerável, condizente com execução de comando no sistema operacional hospedeiro, fora do sandbox da aplicação.

O IDRM foi reportado junto com três outras CVEs no mesmo boletim (CVE-2020-4427 bypass de autenticação SAML, CVE-2020-4429 senha padrão, CVE-2020-4430 path traversal), todas descobertas pelo mesmo pesquisador (Pedro Ribeiro, Agile Information Security), o que sugere uma auditoria completa do produto e não uma falha isolada.

O pré-requisito PR:H (privilégio alto) normalmente reduziria bastante o risco prático, mas o mesmo produto contém CVE-2020-4429: uma conta administrativa do IDRM com senha padrão hardcoded (CVSS 10, AC:L/PR:N). Um atacante sem nenhuma credencial pode autenticar-se com essa senha padrão e, a partir daí, satisfazer o requisito de autenticação/privilégio de CVE-2020-4428 para executar comandos arbitrários. Essa cadeia — login com credencial padrão seguido de injeção de comando — é o cenário de exploração documentado publicamente e é o que torna esta CVE crítica de fato, não apenas no papel.

A presença no catálogo KEV da CISA confirma exploração ativa observada em ambientes reais, e a existência de módulo Metasploit indica que a barreira técnica para explorar é baixa para quem já tem (ou obtém via CVE-2020-4429) uma sessão autenticada com privilégio suficiente.

O resultado final da exploração é execução de comando no sistema operacional que hospeda o IDRM, com o nível de privilégio do processo da aplicação — controle efetivo do host.

O boletim da IBM recomenda atualizar para a versão 2.0.6 e aplicar, em sequência, o IDRM_2.0.6.1_Fixpack e depois o DRM_2.0.6.2_Fixpack (este último não é cumulativo e deve ser aplicado sobre o 2.0.6.1). Quem já está na 2.0.6 aplica apenas os dois fixpacks; quem está na 2.0.6.1 aplica apenas o 2.0.6.2.

Como esta falha depende, na prática, de uma conta autenticada com privilégio alto, fechar o vetor de CVE-2020-4429 (senha padrão da conta administrativa do IDRM) é um controle compensatório real: trocar a senha padrão via `passwd` conforme a documentação do produto reduz drasticamente a superfície de ataque mesmo sem aplicar o fixpack imediatamente. Isso não corrige a injeção de comando em si, apenas elimina a via mais fácil de obter o privilégio necessário para explorá-la.

Restringir o acesso de rede à interface administrativa do IDRM a hosts de gestão confiáveis também reduz a exposição, já que a falha exige AV:N (acessível pela rede). Não há indicação nas fontes de que exista uma mitigação por configuração que desative especificamente o componente vulnerável à injeção de comando — a correção definitiva depende do fixpack.

As fontes disponíveis não trazem assinaturas, IOCs ou padrões de log específicos publicados para esta CVE. Como sinal indireto, vale monitorar logins bem-sucedidos na conta administrativa padrão do IDRM (relacionados a CVE-2020-4429) seguidos de atividade administrativa anômala ou execução de processos inesperados pelo usuário/serviço do IDRM no sistema operacional — essa sequência é consistente com a cadeia de exploração conhecida, mas não há confirmação de um indicador único e confiável nas fontes apuradas.