CVE-2020-10181

Falha no endpoint goform/formEMR30 do roteador multimídia Sumavision Enhanced Multimedia Router (EMR) 3.0.4.27 permite criar usuários administradores arbitrários no dispositivo através de uma única requisição HTTP. O CVSS 9.8 reflete que a exploração não exige autenticação nem interação da vítima — qualquer host com acesso de rede à interface de gerência do equipamento consegue assumir controle administrativo total.

O parâmetro setString aceito por goform/formEMR30 processa comandos de gerenciamento de usuário sem validar se quem envia a requisição já está autenticado como administrador. O payload demonstrado — setString=new_useradministrator123456 — usa o delimitador para separar ação, perfil (administrator) e senha, criando uma conta nova com privilégios máximos diretamente no back-end do dispositivo.

A CISA classifica a falha como CWE-352 (Cross-Site Request Forgery), o que implicaria a necessidade de um administrador autenticado visitar uma página maliciosa que dispara a requisição forjada em seu navegador. Isso conflita com o vetor CVSS publicado (AV:N/AC:L/PR:N/UI:N), que indica exploração remota sem privilégios e sem qualquer interação do usuário — compatível com o comportamento observado nos PoCs públicos, que enviam a requisição diretamente ao dispositivo sem depender de sessão de vítima. Na prática, o problema central é ausência de controle de acesso (verificação de sessão/token) no endpoint, não apenas falta de token anti-CSRF: se a interface de gerência estiver alcançável na rede, a criação de conta admin funciona sem qualquer pré-condição de autenticação.

Não há detalhes publicados sobre a lógica interna do binário goform (comum em CGIs de firmware embarcado chinês), nem sobre outros endpoints correlatos que possam compartilhar a mesma falha de validação.

O exploit público (script exploit_sumavision.sh, referenciado no repositório do pesquisador s1kr10s) demonstra o ataque como uma requisição HTTP direta ao endpoint goform/formEMR30, sem etapas de autenticação prévia — bastando alcançar a porta de gerência do dispositivo na rede. Isso é consistente com a leitura do vetor CVSS (UI:N, PR:N) e diverge da descrição de 'CSRF clássico' que exigiria engenharia social para induzir um administrador logado a clicar em um link.

O único pré-requisito real é conectividade de rede até a interface web de gerenciamento do EMR — não é preciso credencial válida, nem que um usuário legítimo esteja com sessão ativa no momento do ataque, segundo o comportamento demonstrado no PoC. Isso torna dispositivos expostos diretamente à internet ou a redes não segmentadas (típico em ambientes de operadoras de TV/streaming, onde o EMR é usado) alvos triviais.

O resultado da exploração é a criação de uma conta com perfil administrator e senha definida pelo atacante, dando controle total sobre configuração, roteamento de mídia e potencialmente sobre outras funções administrativas do equipamento. A CVE está no catálogo KEV da CISA (adicionada em 2021-11-03, prazo de correção 2022-05-03), confirmando exploração ativa observada, embora não haja indicação de uso em campanhas de ransomware.

Não foi localizado advisory oficial do fornecedor Sumavision com número de versão corrigida — nas fontes pesquisadas (PacketStorm, GitHub do PoC, KEV da CISA) não há release notes, patch ou versão fixa publicada. A própria entrada da CISA no KEV recomenda genericamente 'aplicar atualizações conforme instruções do fornecedor', sem apontar qual atualização resolve o problema; trate essa ausência de informação como um sinal de que o produto pode estar sem suporte ativo.

Na falta de patch confirmado, o controle compensatório real é isolar a interface de gerenciamento do EMR: nunca expor a porta de administração à internet, restringir acesso por firewall/ACL a hosts de gestão confiáveis, e segmentar a rede de operação de mídia da rede corporativa/pública. Um WAF na frente do dispositivo pode bloquear requisições contendo o padrão setString=new_user e o delimitador , mas isso é paliativo — não corrige a falta de controle de acesso no endpoint.

Não funciona como mitigação confiar apenas em proteção CSRF (token, SameSite cookie) contra essa falha: como os PoCs demonstram exploração sem sessão de vítima, medidas voltadas exclusivamente a CSRF no navegador do administrador não bloqueiam o ataque direto ao endpoint.

Procure em logs de acesso web do dispositivo (ou de proxies/firewalls na frente dele) requisições para o caminho goform/formEMR30 contendo o parâmetro setString com o padrão new_useradministrator, especialmente originadas de IPs fora da rede de gestão esperada. Criação inesperada de contas com perfil administrator no painel do EMR sem correlação com ação humana registrada é o indicador mais direto de exploração bem-sucedida.

Não há assinatura de tráfego amplamente publicada por fornecedores de IDS/IPS para esta CVE específica nas fontes consultadas; a detecção depende de monitoramento manual de logs do próprio dispositivo e de inventário de contas administrativas.