CVE-2026-34909

CVE-2026-34909 é uma falha de path traversal (CWE-22) em UniFi OS que permite a um atacante com acesso de rede ler arquivos do sistema subjacente sem autenticação, dados que podem ser usados para comprometer uma conta do dispositivo. O CVSS 10.0 reflete impacto total em confidencialidade, integridade e disponibilidade porque a falha está inserida no boletim SAB-064, que junto com outras CVEs do mesmo pacote permite escalar até execução remota de código — está no catálogo KEV da CISA com exploração confirmada e prazo de correção de apenas 3 dias.

A vulnerabilidade está no gateway HTTP interno do UniFi OS, que expõe rotas de proxy para serviços internos. Segundo análise de engenharia reversa (não confirmada literalmente pelo fornecedor, que só descreve a falha em termos genéricos), o ponto vulnerável é uma rota do tipo GET /app-assets//, onde o segmento é passado para uma diretiva 'alias' do nginx sem sanitização adequada de sequências como '..%2f' ou '%2e%2e'. Isso permite que o valor controlado pelo atacante escape do diretório esperado e leia arquivos arbitrários do sistema de arquivos local.

A descrição oficial da Ubiquiti reforça que os arquivos expostos 'poderiam ser manipulados para acessar uma conta subjacente' — ou seja, o traversal por si só é leitura de arquivo, mas os dados lidos (credenciais, tokens, arquivos de configuração de conta) servem de insumo para assumir uma conta no sistema. Isso é consistente com o padrão de CWE-22 combinado a exposição de segredos em disco, mas o fornecedor não detalhou publicamente qual arquivo específico é o alvo.

O boletim SAB-064 da Ubiquiti agrupa cinco vulnerabilidades relacionadas em UniFi OS, três delas com CVSS 10.0 (incluindo esta). Pesquisadores que analisaram tráfego de exploração real notaram que a numeração exata de qual CVE corresponde a qual rota HTTP não é trivial de confirmar sem o código-fonte do fornecedor — a atribuição de mecanismo específico a CVE-2026-34909 feita por terceiros usou engenharia reversa assistida por LLM e tem confiança parcial, não confirmação oficial linha a linha.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) indica exploração puramente de rede, sem necessidade de autenticação, baixa complexidade e mudança de escopo — compatível com uma falha que dá acesso a recursos fora do contexto de segurança original do processo que a serve.

Pré-requisito real: apenas acesso de rede ao serviço HTTP do UniFi OS exposto (PR:N, UI:N) — nenhuma credencial é necessária. Isso torna dispositivos com a interface de gerenciamento exposta à internet, ou acessíveis a partir de uma rede comprometida, diretamente vulneráveis sem qualquer interação do operador.

Exploração ativa foi confirmada pela CISA (KEV, adicionada em 23/06/2026, com prazo de correção de 26/06/2026). Pesquisadores da Xservus/PwnDefend capturaram, via honeypot, uma cadeia de ataque real contra UniFi OS Server que combina uma requisição de bypass de controle de acesso (atribuída a CVE-2026-34908) com injeção de comando no parâmetro pkg_name da rota de atualização de pacotes (atribuída a CVE-2026-34910), resultando na queda de um implante Mirai/Gafgyt (denominado azsxd v2.0) via loader multi-arquitetura. É importante registrar que os próprios pesquisadores corrigiram publicamente uma atribuição inicial errada de CVE ao analisar esse pacote — ou seja, a exploração em massa documentada usa partes de CVE-2026-34908 e CVE-2026-34910, e não há confirmação direta, na fonte lida, de que o traversal isolado descrito em CVE-2026-34909 tenha sido o vetor exato capturado nesse incidente específico. A presença de 34909 no KEV indica exploração confirmada da falha, mas o detalhamento técnico disponível publicamente concentra-se na cadeia 34908→34910.

O resultado final documentado da campanha observada é execução remota de comando e recrutamento do dispositivo para uma botnet DDoS estilo Mirai — não apenas leitura de arquivo. Isso é consistente com o cenário em que o traversal (34909) serve como uma das portas de entrada possíveis dentro do mesmo conjunto de vulnerabilidades do SAB-064, mesmo que o exemplo de tráfego capturado tenha usado outra combinação.

A Ubiquiti publicou o boletim SAB-064 cobrindo esta e outras vulnerabilidades relacionadas em UniFi OS. Não há, nas fontes lidas, uma tabela de versão corrigida específica e confirmada para CVE-2026-34909 isoladamente — o material disponível reproduz números de versão apenas para CVE-2026-34908 dentro do mesmo boletim (por exemplo, UCG-Industrial para 5.1.12, UniFi OS Server para 5.0.8, entre outros produtos). Como os produtos afetados listados para 34909 (EFG, ENVR, ENVR-Core, Express, Express 7, UCG-Fiber, UCG-Industrial, UCG-Max) coincidem parcialmente com os do boletim geral, é razoável supor que a mesma rodada de atualização do SAB-064 corrija ambas as falhas, mas isso não deve ser tratado como confirmado sem checar o advisory oficial diretamente para a tabela exata desta CVE.

Ação prática: aplicar a atualização de UniFi OS mais recente indicada pelo fornecedor no advisory SAB-064 para o modelo específico do equipamento, sem assumir que uma versão testada para outro produto da mesma família se aplica igualmente. Se a atualização não puder ser aplicada imediatamente, o controle compensatório real é remover a exposição da interface de gerenciamento UniFi OS à internet e restringir acesso a rede de gestão isolada — não existe flag de configuração documentada que neutralize um path traversal em rota de proxy interna sem o patch do fornecedor.

Mito a evitar: acreditar que autenticação forte na conta do UniFi protege contra esta falha — o vetor é PR:N (sem autenticação) e atua no nível da rota HTTP, não da sessão de usuário, então trocar senha ou habilitar MFA não mitiga o traversal em si.

Em nível de tráfego, o indício a procurar é requisição GET para rotas de proxy do UniFi OS (padrão /app-assets//) contendo sequências de traversal codificadas como '..%2f' ou '%2e%2e' no segmento de caminho — mas essa assinatura vem de análise de terceiros por engenharia reversa, não de um IOC publicado pelo fornecedor, e deve ser tratada como indicativa, não definitiva. A cadeia de exploração documentada por pesquisadores (Xservus/PwnDefend) descreve três camadas de detecção para o ataque completo observado: assinatura de URI distintiva na rede, padrão de processo com binário apagado do disco no host, e regra YARA para o implante azsxd — porém esses indicadores correspondem à cadeia 34908+34910 capturada, não especificamente ao traversal isolado de 34909.

Na ausência de assinatura oficial do fornecedor para esta CVE, monitorar logs de acesso do UniFi OS por respostas 200 anômalas a caminhos fora do escopo esperado de assets estáticos, e tratar qualquer dispositivo com a interface de gerenciamento exposta à internet e sem a atualização mais recente como candidato a comprometimento, dado que o SAB-064 está sob exploração ativa confirmada.