CVE-2019-11580

O Atlassian Crowd e Crowd Data Center vinham com o plugin de desenvolvimento pdkinstall habilitado por engano em builds de produção. Esse plugin permite instalar plugins arbitrários no servidor, e como Crowd plugins são código Java executado pela aplicação, isso se traduz em execução remota de código completa. É falha crítica de configuração de build, não de lógica de autenticação complexa — e está na KEV da CISA por exploração confirmada em campo, com módulo Metasploit e templates Nuclei públicos, o que a torna trivial de varrer e explorar em massa.

A causa raiz é um erro de empacotamento (CWE-1188, configuração insegura por padrão / componente de desenvolvimento exposto em produção): o plugin pdkinstall, destinado a facilitar o desenvolvimento e instalação rápida de plugins durante o ciclo de build do Atlassian Plugin SDK, permaneceu ativo nos artefatos de release do Crowd. Esse plugin expõe funcionalidade de instalação de plugins sem as barreiras de autorização que a interface administrativa normal impõe.

Como o Crowd é construído sobre a plataforma de plugins Atlassian (OSGi/Spring), qualquer plugin instalado roda com os privilégios do processo Java da aplicação. Um plugin malicioso pode conter qualquer código Java — incluindo web shells, listeners de comando ou lógica arbitrária —, dando ao atacante execução de código no mesmo contexto do serviço Crowd, tipicamente com privilégios elevados no host.

A descrição oficial da Atlassian é explícita ao dizer que tanto requisições não autenticadas quanto autenticadas podem disparar a exploração — ou seja, o endpoint do pdkinstall não impõe verificação de sessão/permissão adequada. Isso remove a pré-condição de credenciais válidas que normalmente limitaria o impacto de uma falha de instalação de plugin em um produto de gerenciamento de identidade.

O vetor é rede: um atacante com acesso HTTP(S) à interface do Crowd (a porta/endpoint onde o webapp roda, comumente exposta em ambientes corporativos para SSO/diretório) envia uma requisição ao endpoint do plugin pdkinstall solicitando a instalação de um plugin controlado pelo atacante. Não é necessário login válido — a falha reside exatamente na ausência de controle de acesso nesse endpoint de desenvolvimento, que nunca deveria estar presente em builds de release.

A complexidade de exploração é baixa: não há necessidade de engenharia social, condição de corrida ou configuração não padrão além de ter uma instância vulnerável acessível. Isso explica o CVSS 9.8 (AV:N/AC:L/PR:N/UI:N) e o EPSS próximo de 1, e por que existem módulo Metasploit e templates Nuclei publicados — a exploração foi automatizada e é usada em varreduras de internet desde pouco depois da divulgação em 2019.

A CISA incluiu a CVE no catálogo KEV em novembro de 2021, confirmando exploração ativa observada, com prazo de correção definido para maio de 2022 para agências federais dos EUA. O resultado final da exploração é execução de código arbitrário no servidor Crowd, o que em ambientes onde o Crowd atua como backend de SSO/diretório de identidade pode servir de trampolim para comprometer credenciais e outros sistemas integrados — mas isso é consequência da posição do Crowd na arquitetura, não algo detalhado tecnicamente nas fontes oficiais consultadas.

A correção definitiva é atualizar para as versões corrigidas por ramo: 3.0.5, 3.1.6, 3.2.8, 3.3.5 ou 3.4.4 (ou qualquer versão posterior a estas dentro do mesmo ramo, ou versões mais novas do produto). A Atlassian recomenda atualizar para a versão mais recente disponível sempre que possível.

Quando a atualização imediata não é viável, a própria Atlassian publicou um paliativo operacional: parar o serviço Crowd; localizar e apagar quaisquer arquivos jar do pdkinstall-plugin no diretório de instalação e no diretório de dados do Crowd; remover o jar do pdkinstall-plugin de dentro do arquivo `/crowd-webapp/WEB-INF/classes/atlassian-bundled-plugins.zip`; reiniciar o Crowd; e validar que nenhum jar do pdkinstall-plugin remanesce em nenhum dos dois diretórios. Esse procedimento remove o componente vulnerável sem exigir troca de versão, mas é manual, propenso a erro (arquivo esquecido = falha persiste) e não substitui a atualização — deve ser tratado como mitigação temporária, não como correção permanente.

Restringir acesso de rede à interface do Crowd (segmentação, firewall, VPN) reduz a superfície de exposição mas não elimina a falha caso um atacante já tenha acesso à rede interna ou a um segmento onde o Crowd esteja acessível — não é substituto para a remoção do plugin ou a atualização.

As fontes consultadas não detalham um endpoint HTTP específico do pdkinstall nem uma assinatura de payload oficial — apenas confirmam a existência de módulo Metasploit e template Nuclei públicos, que por definição embutem a lógica de detecção/exploração usada em varreduras automatizadas contra instâncias Crowd expostas. Na ausência de assinatura documentada aqui, o sinal mais concreto e verificável localmente é a presença de arquivos jar do pdkinstall-plugin no diretório de instalação, no diretório de dados do Crowd, ou dentro do atlassian-bundled-plugins.zip — sua existência em uma versão vulnerável indica exposição ao vetor, e sua ausência (ou instalação de plugins não reconhecidos pela equipe) após uma atualização deve ser validada como parte da resposta a incidente.

Em nível de rede/WAF, monitorar por picos de requisições a instâncias Crowd voltadas à internet seguidas de criação de arquivos de plugin inesperados no sistema de arquivos é um indicador indireto razoável, mas não há confirmação nas fontes lidas de um padrão de log específico publicado pela Atlassian para essa CVE.