Command Injection Vulnerability in Remote Support(RS) & Privileged Remote Access (PRA)

Falha crítica de command injection (CWE-77) nos produtos BeyondTrust Privileged Remote Access (PRA) e Remote Support (RS), que permite a um atacante não autenticado injetar comandos executados com o privilégio do usuário de site (site user) da instância. Está no catálogo KEV da CISA com exploração ativa confirmada e existe módulo Metasploit público — combinação que justifica o CVSS 9.8 e o prazo de correção agressivo (8 dias) definido pela CISA.

A vulnerabilidade é classificada pelo próprio fornecedor como CWE-77 (Improper Neutralization of Special Elements used in a Command). Isso indica que algum componente das aplicações PRA/RS aceita entrada controlada por um usuário externo — sem qualquer autenticação prévia (PR:N, UI:N no vetor CVSS) — e a repassa, sem sanitização adequada, para uma rotina que monta e executa um comando no sistema operacional subjacente.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) descreve um ataque de rede, sem complexidade adicional, sem necessidade de privilégios nem interação do usuário, com impacto total em confidencialidade, integridade e disponibilidade — ou seja, execução de comando com resultado equivalente a comprometimento completo do serviço.

As fontes disponíveis (advisory da BeyondTrust, NVD, CISA) não detalham publicamente qual endpoint, parâmetro ou serviço específico recebe a entrada maliciosa, nem o texto completo do fluxo de código vulnerável. Isso é deliberado: fornecedores de produtos de acesso remoto tendem a omitir detalhes de exploração enquanto o patch não está amplamente aplicado. O que se sabe com confiança, a partir do CNA (BeyondTrust) e do NVD, é o tipo de falha (injeção de comando), a ausência de pré-requisito de autenticação e o impacto (execução como 'site user').

Pré-requisito real: nenhum além de acesso de rede ao serviço PRA/RS exposto — não há necessidade de conta válida, de interação de usuário nem de configuração não padrão conhecida. Isso torna a superfície de ataque ampla para qualquer instância acessível pela internet ou por rede adjacente não segmentada.

A CISA classifica a exploração como ativa ('exploitation: active' no SSVC) e o CVE está no catálogo KEV desde 19/12/2024, com prazo de mitigação até 27/12/2024 — um dos prazos mais curtos do catálogo, reservado a falhas com exploração observada e alto impacto. A existência de módulo Metasploit público reduz ainda mais a barreira técnica para exploração em massa, já que automatiza a submissão do payload que dispara a injeção de comando.

O resultado final da exploração é execução de comando arbitrário no host da aplicance PRA/RS, com os privilégios do usuário de serviço ('site user'). Dependendo de como esse usuário está configurado no ambiente, isso pode significar acesso a credenciais gerenciadas pela ferramenta, movimento lateral via as próprias sessões de suporte remoto/acesso privilegiado que o produto administra, ou simplesmente um ponto de apoio para escalar privilégios no host. As fontes revisadas não descrevem exploração encadeada com outras CVEs nem detalham a técnica exata de escalonamento pós-exploração.

O fornecedor (BeyondTrust) publicou o advisory BT24-10 com instruções de mitigação; a versão exata que corrige a falha não está discriminada nas fontes revisadas neste apuramento — o NVD registra apenas que todas as versões de PRA e RS até 24.3.1 (inclusive) estão marcadas como afetadas, sem indicar explicitamente o número da versão corrigida. Antes de agir, confirme a versão de correção diretamente no advisory oficial do fornecedor (BT24-10), pois aplicar qualquer atualização 'assumida' sem confirmação é o tipo de erro que este apuramento busca evitar.

A ação recomendada pela CISA no KEV é dupla: aplicar as mitigações do fornecedor ou, se isso não for possível, descontinuar o uso do produto. Não há menção nas fontes de um paliativo via WAF, firewall de aplicação ou flag de configuração que neutralize a falha sem patch — dado que se trata de injeção de comando em código de aplicação, mitigação por segmentação de rede (restringir exposição do PRA/RS à internet pública) reduz a superfície mas não elimina o risco caso o atacante já tenha acesso de rede interno.

O que não funciona como mitigação: qualquer controle de autenticação adicional (MFA, política de senha) é irrelevante aqui, já que a falha é explorável sem autenticação — o problema está antes de qualquer verificação de identidade.

As fontes revisadas não fornecem assinaturas de log, padrões de requisição ou indicadores de comprometimento específicos associados à exploração desta CVE. A confirmação de exploração ativa vem do próprio registro no catálogo KEV da CISA (classificação SSVC 'exploitation: active'), não de IOCs publicados. Na ausência de indicadores oficiais, monitorar logs de acesso e processos anômalos nas instâncias PRA/RS expostas — especialmente execução de processos filhos inesperados a partir do serviço da aplicação — é a abordagem prática disponível até que o fornecedor ou pesquisadores publiquem assinaturas específicas.