ScreenConnect Exposure to ASP.NET ViewState Code Injection

Falha em instâncias ScreenConnect (versão 25.2.3 e anteriores) que permite RCE via injeção de código no ViewState do ASP.NET, mas apenas se o atacante já tiver comprometido as machine keys do servidor — chaves criptográficas que exigem acesso privilegiado a nível de sistema para serem obtidas. O CVSS de 8.1 reflete o impacto final (RCE), não a facilidade de exploração: sem as machine keys, o ataque é inviável. Está no catálogo KEV da CISA, indicando exploração confirmada, provavelmente em cenários onde as chaves já haviam sido expostas por outro vetor (comprometimento prévio do servidor, backup exposto, etc.).

ASP.NET Web Forms usa ViewState para persistir estado de página e controles entre requisições. Esse estado é serializado, codificado em Base64 e protegido (assinado/criptografado) com as chamadas 'machine keys' — chaves geradas por instância. O framework confia que qualquer ViewState com assinatura válida é legítimo e o desserializa automaticamente no lado servidor. CWE associado pelo catálogo KEV é CWE-287 (Improper Authentication), refletindo que a raiz do problema é a validação de confiança em um dado assinado, não uma falha de parsing isolada.

Se as machine keys de uma instância se tornam conhecidas pelo atacante, ele pode gerar um ViewState malicioso — payload serializado que, ao ser desserializado pelo ASP.NET, executa código arbitrário no contexto do processo web. O atacante controla o conteúdo do objeto serializado; o servidor confia na assinatura e não valida a origem ou o conteúdo antes de desserializar.

A ConnectWise é explícita: o problema não é uma vulnerabilidade introduzida pelo ScreenConnect, é comportamento de plataforma do próprio ASP.NET Web Forms. Qualquer aplicação .NET que dependa de ViewState protegido por machine keys está sujeita à mesma classe de risco caso essas chaves sejam expostas. O ScreenConnect Client (o agente instalado nas máquinas gerenciadas) não é afetado — o risco está no servidor/console web.

O patch da ConnectWise (25.2.4, correspondente ao ciclo de release 2025.4) elimina a superfície de ataque removendo a dependência de ViewState inteiramente, em vez de apenas rotacionar chaves ou adicionar validações adicionais.

Pré-requisito indispensável: o atacante precisa primeiro obter as machine keys da instância ScreenConnect — isso exige acesso privilegiado a nível de sistema (comprometimento prévio do servidor via outra falha, acesso a arquivo de configuração, backup exposto, ou movimento lateral já com privilégios administrativos). Sem essas chaves, não há como forjar um ViewState válido; o CVSS marca AC:H (complexidade de ataque alta) e não PR:N reflete privilégio na aplicação, mas a exigência real de acesso a segredos do host é o fator limitante.

Com as chaves em mãos, o atacante monta um ViewState malicioso e o envia como parâmetro em uma requisição HTTP normal ao console web do ScreenConnect. O servidor desserializa o payload confiando na assinatura, o que resulta em execução de código no contexto do processo da aplicação — efetivamente RCE completo no servidor ScreenConnect on-premises.

A presença no catálogo KEV da CISA confirma exploração ativa, mas não há indicação de que a falha seja usada como cadeia autônoma; o padrão mais provável é uso como etapa de pós-exploração, depois que o atacante já obteve acesso privilegiado ao servidor por outro meio (o que também explicaria por que a CISA classifica 'Known To Be Used in Ransomware Campaigns' como 'Unknown' — não há confirmação de vínculo direto com ransomware apesar da exploração registrada).

Atualizar para ScreenConnect 25.2.4 (ciclo de release 2025.4) ou versão posterior. Instâncias em cloud (screenconnect.com e hostedrmm.com) já foram corrigidas automaticamente pela ConnectWise — nenhuma ação necessária. Instâncias on-premises precisam de atualização manual via página de Administração/Licença; a ConnectWise também publicou patches de segurança retroativos para versões antigas a partir da 23.9 para quem não está em manutenção ativa, com data de publicação a partir de 22 de abril de 2025.

O patch não faz apenas rotação de chaves — ele remove completamente a dependência de ViewState no ScreenConnect, eliminando a classe de risco em vez de mitigá-la parcialmente. Isso significa que rotacionar machine keys manualmente, sem aplicar o patch, não é mitigação equivalente: reduz a janela de exposição de uma chave já comprometida, mas não remove o mecanismo de desserialização vulnerável enquanto a versão antiga estiver em uso.

Como controle compensatório caso o patch não possa ser aplicado imediatamente: restringir rigorosamente o acesso a nível de sistema ao servidor ScreenConnect (é o pré-requisito real do ataque), garantir que backups, arquivos de configuração e snapshots não fiquem acessíveis a usuários não confiáveis, e monitorar atividade administrativa anômala. Nenhum desses substitui a atualização — apenas reduzem a chance de o pré-requisito (roubo de machine keys) ser satisfeito. A ConnectWise recomenda, após o patch, revisar usuários com acesso, trocar senhas, habilitar MFA e revisar o audit log.

A ConnectWise não divulgou indicadores técnicos específicos de exploração desta falha ('devido à natureza sensível da vulnerabilidade, não podemos fornecer mais detalhes'), o que limita a detecção baseada em assinatura. Como sinal indireto, procurar por requisições HTTP com parâmetros __VIEWSTATE anormalmente grandes, malformados ou que gerem erros de validação de MAC/criptografia nos logs do IIS/ASP.NET do servidor ScreenConnect, além de qualquer evidência de acesso não autorizado a arquivos de configuração ou machine keys (web.config, backups) que precederia o ataque. Dado que exploração exige comprometimento prévio, a auditoria deve focar em como o atacante obteve as chaves — revisão de audit log, sessões de técnicos, criação de contas novas e atividade administrativa fora do padrão, conforme o checklist de resposta a incidentes publicado pela ConnectWise.