CVE-2024-8190

Injeção de comandos no sistema operacional (CWE-78) no console administrativo do Ivanti Cloud Services Appliance (CSA) 4.6, permitindo que um atacante autenticado com privilégios de admin execute comandos arbitrários na base OS do appliance. O CVSS de 7,2 reflete a exigência de privilégio alto (PR:H), mas a CISA confirmou exploração ativa antes da correção e a falha entrou no catálogo KEV — pesquisadores relataram que ela foi encadeada com uma vulnerabilidade de path traversal não autenticada no mesmo produto para viabilizar comprometimento remoto sem credenciais prévias, o que muda substancialmente o cenário de risco real.

A falha está no console administrativo do CSA 4.6 (todas as versões até o patch 518). Um usuário autenticado com privilégios de admin da aplicação consegue passar entradas que são repassadas sem sanitização adequada para comandos do sistema operacional subjacente — CWE-78, injeção de comando de OS. O fornecedor não detalhou publicamente o endpoint ou parâmetro exato vulnerável no texto disponível; o que se sabe com certeza é que o vetor exige acesso à interface administrativa e privilégio de admin dentro da aplicação, não necessariamente acesso de root ao SO antes do ataque.

O impacto documentado é RCE completo (C:H/I:H/A:H no vetor CVSS), ou seja, controle total sobre o appliance a partir da execução de comandos no OS. Como o CSA costuma atuar como gateway/appliance de gerenciamento de serviços em nuvem dentro da infraestrutura Ivanti, comprometer o appliance pode servir como ponto de pivotagem para outros sistemas gerenciados por ele.

O ponto crítico para avaliação de risco é a pré-condição PR:H: a exploração isolada de CVE-2024-8190 exige uma conta com privilégio de admin já estabelecida. Isso normalmente limitaria o risco a insiders ou a atacantes que já obtiveram credenciais administrativas por outro meio — reduzindo a superfície de ataque direta pela internet.

Isoladamente, a exploração requer que o atacante já possua uma sessão autenticada com privilégios de admin no console do CSA — não é um vetor de acesso inicial por si só. A CISA descreve a falha como permitindo que 'um atacante autenticado com privilégios de admin da aplicação' passe comandos ao SO subjacente, o que implica baixa complexidade técnica (AC:L) uma vez satisfeita essa pré-condição.

O fator que elevou isso a exploração ativa e entrada no KEV foi o encadeamento relatado por pesquisadores com outra falha do CSA 4.6, uma path traversal não autenticada (rastreada separadamente), que permite a um atacante sem credenciais alcançar funcionalidades administrativas do appliance. Combinando as duas falhas, um atacante remoto sem acesso prévio consegue efetivamente disparar a injeção de comando e obter RCE completo no appliance — daí a gravidade prática superar o que o CVSS isolado de CVE-2024-8190 sugere.

A CISA confirmou 'exploração limitada' (limited exploitation) antes da correção, e há PoC pública circulando. Isso torna o CSA 4.6 não corrigido um alvo de varredura ativa por operadores que buscam appliances expostos à internet com console administrativo acessível.

A correção do fornecedor é o patch 519 para a linha CSA 4.6 (a vulnerabilidade afeta todas as versões 4.6 até o patch 518, inclusive). Entretanto, a CISA e a própria Ivanti classificam a linha 4.6 como fim de vida (EOL) — futuras vulnerabilidades nessa linha têm baixa probabilidade de receber correções. A recomendação oficial, portanto, não é apenas aplicar o patch 519, mas migrar para a linha CSA 5.0.x, que continua recebendo suporte.

Como controle compensatório enquanto a migração não ocorre: restringir o acesso à interface administrativa do CSA apenas a redes de gerência confiáveis (nunca exposta diretamente à internet), reduzir o número de contas com privilégio de admin e monitorar autenticações administrativas fora do padrão. Isso não elimina a falha, mas reduz drasticamente a chance de exploração remota, especialmente do encadeamento com a falha de path traversal não autenticada.

Não existe mitigação via WAF documentada pelo fornecedor para este caso específico, e aplicar apenas o patch sem planejar a saída da linha 4.6 é insuficiente a médio prazo, já que o produto não receberá mais patches de segurança.

Procurar nos logs do console administrativo do CSA por comandos ou parâmetros anômalos submetidos por contas de admin, especialmente originados de IPs ou sessões fora do padrão de uso administrativo normal. Como o vetor foi relatado em conjunto com uma path traversal não autenticada, vale correlacionar tentativas de acesso a caminhos/arquivos fora do escopo esperado da interface web do CSA antes de ações administrativas suspeitas — indício do encadeamento das duas falhas. Não há assinatura de detecção única e confiável publicada pelo fornecedor ou pela CISA; a ausência de sinal claro nos logs padrão do appliance é, em si, uma limitação relevante para quem tenta confirmar exploração retroativa.