CVE-2019-11510

Falha de leitura arbitrária de arquivos (CWE-22, path traversal) no portal web pré-autenticação do Pulse Connect Secure (SSL VPN), hoje sob a marca Ivanti. Um atacante sem credenciais e apenas com acesso HTTPS ao appliance consegue ler arquivos sensíveis do sistema, incluindo bancos de dados de sessão ativa — o que na prática permite sequestrar sessões de usuários autenticados e, em muitos casos, escalar até acesso administrativo. É uma das vulnerabilidades mais exploradas da história recente de VPNs corporativas, usada por grupos APT e ransomware, e consta no catálogo KEV da CISA.

A vulnerabilidade foi descoberta por Orange Tsai e Meh Chang (DEVCORE), que a classificam como 'Pre-auth Arbitrary File Reading'. O appliance expõe componentes web escritos em Perl com extensões C++; uma rota do portal aceita uma URI especialmente montada que não sanitiza corretamente sequências de path traversal antes de resolver o caminho no sistema de arquivos, permitindo escapar do diretório esperado e acessar arquivos arbitrários no appliance — sem necessidade de sessão ou credencial prévia.

O vetor é uma requisição HTTPS única, sem autenticação, contra o portal web do Pulse Connect Secure — não exige configuração não padrão nem interação do usuário, o que explica o CVSS 9.9 e a exploração massiva registrada por pesquisadores (Bad Packets identificou mais de 14.500 endpoints vulneráveis expostos em agosto de 2019). O impacto documentado vai além de 'ler um arquivo': o CERT/CC confirmou que a falha permite extrair o arquivo de sessões ativas do appliance (data.mdb, no diretório de runtime), contendo IDs de sessão válidos, inclusive de administradores logados. Com esse ID de sessão, o atacante impersona o usuário ou o admin sem precisar da senha, e a partir daí pode encadear outras falhas pós-autenticação (como CVE-2019-11539, injeção de comando via interface admin) para obter execução remota de código completa no appliance — essa cadeia foi demonstrada publicamente pelos pesquisadores e depois usada por atores de ameaça reais, incluindo grupos ligados a APT chinês, conforme mencionado pelos próprios descobridores, e citada em advisory da NSA sobre exploração ativa de VPNs por atores estatais.

A única correção real é atualizar o Pulse Connect Secure para as versões corrigidas pelo fornecedor. O CERT/CC declara explicitamente que não existe workaround viável para esta CVE — em particular, exigir certificado de cliente ou autenticação multifator (2FA) NÃO mitiga o ataque, porque a falha ocorre antes de qualquer autenticação e o roubo de sessão via arquivo de runtime contorna esses controles. Esse é o mito mais recorrente em torno da falha: administradores assumiram que 2FA/client cert bastava, e isso foi desmentido formalmente pelo fornecedor via CERT/CC.

Em logs do appliance, tentativas de exploração aparecem como requisições HTTP/HTTPS com sequências de path traversal na URI direcionadas a componentes do portal web pré-autenticação; scanners em massa (associados a Bad Packets e a botnets subsequentes) geraram picos de requisições desse padrão contra a porta HTTPS do appliance a partir de 2019. Como o acesso inicial é pré-autenticado e não gera evento de login, a ausência de entradas de autenticação correspondentes a uma sessão observada é um indicador de possível sequestro de sessão; a presença de módulo Metasploit, template Nuclei e PoCs públicas amplamente disponíveis desde 2019 tornou o tráfego de exploração automatizada bastante padronizado e detectável por assinatura, mas não há um único log 'infalível' — appliances comprometidos antes da atualização podem não deixar rastro claro se o atacante limpou artefatos após obter acesso administrativo.