CVE-2023-52163

Injeção de comando pós-autenticação no CGI time_tzsetup.cgi dos DVRs Digiever DS-2105 Pro (firmware 3.1.0.71-11), que permite a um usuário logado no painel web executar comandos arbitrários no sistema operacional do dispositivo. O produto está fora de suporte há mais de cinco anos, o fornecedor não emitiu correção nem advisory, e a falha está sendo explorada ativamente por botnets Mirai (Hail Cock, ShadowV2) para recrutar dispositivos em campanhas de DDoS — motivo da entrada no catálogo KEV da CISA.

DigiEver usa uma base de código compartilhada entre seus DVRs, com um gateway CGI único em /cgi-bin/cgi_main.cgi que recebe um parâmetro cgiName e repassa a chamada para o script correspondente. Um desses scripts, time_tzsetup.cgi, trata configuração de fuso horário e sincronização NTP e recebe um parâmetro ntp (endereço do servidor NTP) que é passado sem sanitização para um comando de shell no sistema subjacente. Caracteres de metacaractere de shell (pipe, backtick, ponto e vírgula) injetados nesse parâmetro quebram o contexto do comando pretendido e permitem execução arbitrária — um caso clássico de OS Command Injection (CWE-78).

A CISA classifica a falha, no catálogo KEV, como CWE-862 (Missing Authorization) em vez de apenas command injection: o ponto central não é só a falta de sanitização de entrada, mas o fato de a função ficar acessível a qualquer sessão autenticada, sem verificação de que o usuário tem privilégio administrativo para alterar configurações de sistema — consistente com o vetor CVSS PR:L (privilégio baixo, não necessariamente admin).

O mesmo pesquisador (TXOne) encontrou e divulgou junto uma segunda falha, CVE-2023-52164, leitura arbitrária de arquivo via access_device.cgi, no mesmo gateway CGI e com o mesmo pré-requisito de autenticação. As duas foram descobertas em julho de 2023 ao desmontar a imagem de recuperação de firmware disponibilizada no site do fabricante, mas só divulgadas publicamente em janeiro de 2025 após o fornecedor recusar corrigir.

Para explorar, o atacante precisa de uma sessão autenticada válida na interface de gerenciamento web do DVR — não necessariamente com privilégio de administrador, dado o PR:L do CVSS. Com essa sessão, ele envia uma requisição para /cgi-bin/cgi_main.cgi com cgiName=time_tzsetup.cgi e um valor malicioso no parâmetro ntp contendo metacaracteres de shell, o que resulta em execução de comando no sistema operacional do dispositivo, tipicamente com privilégios elevados (Linux embarcado). Não há interação de terceiros necessária além da requisição do próprio atacante, e a complexidade de exploração é baixa uma vez obtido acesso autenticado.

Na prática, muitos DVRs desse tipo são expostos diretamente à internet com credenciais padrão ou fracas, o que reduz o pré-requisito de autenticação a um obstáculo trivial. A Akamai SIRT identificou um botnet Mirai batizado 'Hail Cock' explorando essa falha (referenciado pela TXOne em janeiro de 2025); a Fortinet documentou em novembro de 2025 o botnet ShadowV2, também baseado em Mirai, incorporando CVE-2023-52163 junto com falhas em D-Link, TBK, TP-Link e DD-WRT numa campanha global de infecção de IoT observada durante uma interrupção de conectividade da AWS no fim de outubro de 2025, com vítimas em múltiplos países incluindo o Brasil.

A CISA adicionou a CVE ao catálogo KEV em dezembro de 2025 (prazo de correção definido para janeiro de 2026), confirmando exploração ativa conhecida. O objetivo final observado nas campanhas é enrolar o dispositivo em botnet DDoS, não roubo de dados — mas a execução de comando com privilégios do dispositivo permite qualquer ação que o atacante queira, incluindo pivotagem na rede local onde o DVR está instalado.

Não existe atualização de firmware. O fornecedor, ao ser contatado via TWCERT/CC durante o processo de divulgação, respondeu que o produto está fora de linha há cinco anos e não emitiu advisory nem patch até a data das fontes consultadas (janeiro de 2025). Não há indicação nas fontes de que isso tenha mudado.

Como controle compensatório, a TXOne recomenda: não expor a interface de gerenciamento do DVR diretamente à internet; colocar o dispositivo atrás de firewall ou gateway que faça proxy da interface de gerenciamento, restringindo acesso a redes confiáveis; e trocar credenciais padrão. Como o pré-requisito é apenas autenticação (não necessariamente admin, per CWE-862/PR:L), trocar só a senha do usuário administrador não é suficiente — é preciso revisar todas as contas com acesso ao painel. Segmentação de rede isolando o DVR de outros ativos limita o dano em caso de comprometimento.

O que não funciona como mitigação: assumir que a exigência de login torna o risco baixo — CVSS 8.8 e PR:L já refletem que qualquer conta autenticada, não só admin, dispara a falha, e credenciais padrão em DVRs são comuns. Dado que o produto está descontinuado e sem perspectiva de correção, a única mitigação estruturalmente sólida é a substituição do equipamento.

A TXOne publicou uma assinatura Snort 3 que detecta a exploração: requisição POST para /cgi-bin/cgi_main.cgi contendo cgiName=time_tzsetup.cgi no corpo, com o parâmetro ntp seguido de caracteres pipe, backtick ou ponto e vírgula. Essa regra é o sinal mais confiável documentado nas fontes.

Além disso, tráfego de saída do dispositivo para os indicadores do botnet ShadowV2 (domínio silverpath.shadowstresser.info, IP 81.88.18.108) ou origem de tráfego de exploração reportada pela Fortinet a partir do IP 198.199.72.27 são sinais de que o dispositivo já foi comprometido e recrutado para botnet — úteis para triagem pós-incidente, não para prevenção.