CVE-2025-48928

Falha em TM SGNL, o "clone" do Signal vendido pela TeleMessage (adquirida pela Smarsh), que expunha o endpoint /heapdump do Spring Boot Actuator do servidor de arquivamento (archive.telemessage.com) sem autenticação. Qualquer pessoa que acessasse a URL baixava um dump de heap Java de ~150 MB contendo senhas, chaves de criptografia e o conteúdo de mensagens supostamente "criptografadas de ponta a ponta" que passavam em texto claro pelo servidor. O CVSS de 4.0 (baixo) não reflete o impacto real: a exploração foi trivial, sem autenticação, e resultou em comprometimento de clientes como a CBP (Customs and Border Protection) e a Coinbase.

A causa raiz é dupla. Primeiro, o painel administrativo (secure.telemessage.com), construído em JSP, fazia hashing de senhas em MD5 no lado do cliente — o que anula o propósito do hash, já que o hash passa a funcionar como a própria senha. Segundo, e mais grave, o servidor de arquivamento (archive.telemessage.com), construído em Java com Spring Boot, expunha publicamente o endpoint de diagnóstico /heapdump do módulo Actuator. Esse endpoint despeja o conteúdo da heap da JVM em um arquivo — efetivamente um core dump da aplicação em execução (CWE-528: Exposure of Core Dump File to an Unauthorized Control Sphere).

O problema de fundo do Spring Boot Actuator é conhecido: até a versão 1.5 (lançada em 2017), o /heapdump vinha exposto sem autenticação por padrão. Versões posteriores mudaram o padrão para expor apenas /health e /info sem autenticação, mas é comum desenvolvedores reabilirem endpoints sensíveis para depuração em ambientes de teste e essa configuração acabar vazando para produção sem ninguém notar.

O heap dump de um servidor web carrega os "corpos" das requisições HTTP recentes — incluindo credenciais enviadas em texto claro durante login e, no caso do TM SGNL, o conteúdo integral de mensagens. Isso contradiz o material de marketing da TeleMessage, que afirmava que o TM SGNL usava "criptografia de ponta a ponta do celular até o arquivo corporativo": na prática, o app do celular enviava mensagens sem criptografia até o servidor de arquivamento, que então as retransmitia ao destino final do cliente.

O vetor CVSS publicado (AV:L) diverge do relato de exploração real, que ocorreu inteiramente pela rede contra um endpoint HTTP público — não há indicação nas fontes de que acesso local à máquina fosse necessário.

Não é necessária autenticação nem qualquer pré-condição de configuração além da falha em si: o serviço vulnerável estava acessível pela internet pública. Segundo o pesquisador que reportou o caso ao Wired, o processo completo levou entre 15 e 20 minutos. Ele usou a ferramenta feroxbuster para descoberta de conteúdo (directory/URL brute-forcing) contra archive.telemessage.com e localizou a URL terminada em /heapdump. Uma simples requisição GET a essa URL devolvia o arquivo de dump.

Com o dump em mãos, o atacante buscou pela string "password" no arquivo e encontrou usuários e senhas em texto claro de clientes reais, entre eles uma conta associada à CBP (Customs and Border Protection, dos EUA) e registros de chats internos da Coinbase. As credenciais foram testadas diretamente no login de secure.telemessage.com, confirmando validade. Se a URL fosse acessada no momento exato em que um usuário específico estivesse trocando mensagens pelo app, o dump conteria o conteúdo dessas mensagens sem criptografia.

A CISA confirmou exploração ativa em maio de 2025 e incluiu a falha no catálogo KEV (adicionada em 2025-07-01, prazo de correção 2025-07-22). Não há indicação de que a exploração tenha sido usada em campanhas de ransomware. A gravidade real do incidente é desproporcional ao CVSS baixo (4.0): não há elevação de privilégio complexa nem engenharia envolvida, apenas descoberta de um endpoint de diagnóstico mal exposto seguida de leitura de texto claro.

A TeleMessage suspendeu temporariamente todos os serviços do TM SGNL após a divulgação do incidente, segundo o Wired — na prática, a resposta do fornecedor foi tirar o produto do ar em vez de publicar imediatamente uma versão corrigida com número específico. As fontes disponíveis não trazem uma versão numerada de correção; a recomendação da CISA no KEV é aplicar mitigação conforme instrução do fornecedor ou, se não houver instrução disponível, descontinuar o uso do produto.

Como controle compensatório genérico para qualquer aplicação Spring Boot com Actuator habilitado: nunca expor endpoints sensíveis (/heapdump, /env, /trace, entre outros) publicamente. Restringir via management.endpoints.web.exposure.include a apenas os endpoints necessários, colocar o Actuator em porta separada isolada da rede pública, exigir autenticação e, no mínimo, bloquear acesso externo a esses caminhos em firewall/proxy reverso. Isso não resolve a falha de arquitetura do TM SGNL (mensagens não são de fato ponta a ponta), apenas evita a exposição pontual do dump.

Qualquer organização que tenha usado TM SGNL antes de maio de 2025 deve considerar toda credencial e conteúdo de mensagem trafegado pelo serviço como potencialmente comprometido e rotacionar senhas, chaves e tokens associados. Atualizar apenas a versão do Spring Boot não é mitigação suficiente se o endpoint continuar exposto por configuração explícita da aplicação — o padrão seguro de versões recentes do framework pode ser sobrescrito por configuração de deploy.

Em ambiente próprio com Spring Boot Actuator, procure em logs de acesso web por requisições GET a caminhos como /heapdump ou /actuator/heapdump vindas de IPs externos não autenticados, especialmente respostas com corpo muito grande (dezenas a centenas de MB) — assinatura típica de download de heap dump. Padrões de requisições sequenciais e rápidas a múltiplos caminhos (característico de ferramentas de descoberta como feroxbuster/dirbuster/gobuster) contra hosts que hospedam aplicações Java/Spring Boot também são um indicador de reconhecimento anterior à exploração.

Para o incidente específico do TeleMessage, não há um indicador de comprometimento público e verificável (hash, IP, assinatura) divulgado nas fontes consultadas — a exploração foi relatada por um pesquisador de forma anônima e o serviço já foi suspenso pelo fornecedor, o que limita a possibilidade de detecção retroativa em ambientes de terceiros.