CVE-2020-5849

Falha de bypass de autenticação no painel administrativo web (webGUI) do Unraid 6.8.0, classificada como CWE-287 (autenticação imprópria) e CWE-697 (comparação incorreta) pela CISA. Isoladamente permite acesso não autorizado à interface administrativa; encadeada com CVE-2020-5847 resulta em execução remota de código como root sem autenticação — motivo pelo qual está no catálogo KEV da CISA com exploração confirmada.

O CVSS oficial (AV:N/AC:L/PR:N/UI:N/C:H/I:N/A:N) descreve um impacto isolado de confidencialidade: um atacante remoto, sem credenciais e sem interação do usuário, consegue driblar o mecanismo de login e obter acesso que deveria estar restrito a administradores autenticados. O CWE-697 associado pelo catálogo KEV indica que a raiz do problema é uma comparação incorreta em algum ponto da lógica de verificação de credenciais ou sessão — típico de checagens de senha, token ou cookie que aceitam valores que não deveriam validar.

As fontes consultadas não trazem o dump de código-fonte nem o detalhe exato do trecho vulnerável (a análise técnica original da sysdream.com, que cunhou a CVE junto com a CVE-2020-5847, não pôde ser lida integralmente nesta pesquisa — apenas seu título e classificação foram confirmados). Não é possível, portanto, descrever com precisão qual endpoint ou parâmetro contém a comparação falha; qualquer detalhamento adicional seria especulação, o que evitamos.

O que está confirmado pela CISA é o encadeamento: a CVE-2020-5849 abre a porta administrativa, e a CVE-2020-5847 (falha distinta, não coberta em detalhe nesta página) é usada em seguida para converter esse acesso em execução de código arbitrário com privilégios de root no sistema operacional subjacente ao Unraid.

O vetor é de rede, sem exigência de autenticação prévia nem interação do usuário-alvo (UI:N) — o único pré-requisito real é que a interface web administrativa do Unraid 6.8.0 esteja acessível ao atacante, o que normalmente significa exposição da webGUI à rede local ou, em configurações mal feitas, à internet. Isso reduz drasticamente a superfície de risco em ambientes onde o Unraid está isolado atrás de firewall e não exposto publicamente, mas amplia o risco em NAS domésticos ou de pequenas empresas frequentemente configurados com acesso remoto direto.

Existe PoC pública, módulo Metasploit disponível e a vulnerabilidade está confirmada como explorada ativamente pela CISA (entrada no catálogo KEV). O padrão de exploração documentado publicamente é o encadeamento com CVE-2020-5847: primeiro o bypass de autenticação concede acesso ao painel, depois a segunda falha é usada para executar comandos no sistema com privilégios de root — comprometimento total do host, não apenas do painel de gerenciamento.

A presença de módulo Metasploit maduro e exploração confirmada em campo torna esta combinação de CVEs de exploração trivial para quem tem acesso de rede ao serviço vulnerável, mesmo sem conhecimento profundo do mecanismo interno da falha.

O fornecedor (Lime Technology / Unraid) publicou correções em versões posteriores à 6.8.0, mas as fontes consultadas nesta pesquisa não confirmam explicitamente o número de versão que fecha esta CVE especificamente — não afirmamos aqui um número não verificado. A ação recomendada é consultar o histórico de releases do Unraid (fórum de anúncios oficial) e atualizar para a versão estável mais recente disponível, dado que 6.8.0 é a única versão listada como afetada na descrição oficial.

Como controle compensatório imediato quando a atualização não é viável: jamais expor a webGUI do Unraid diretamente à internet; restringir o acesso à interface administrativa a redes de gerência isoladas (VLAN dedicada) ou VPN; e usar controles de acesso em firewall de perímetro para bloquear qualquer origem externa à porta do painel. Essas medidas não corrigem a falha, mas eliminam o pré-requisito de acesso de rede que a exploração exige.

Não existe mitigação de aplicação (WAF genérico) confiável documentada nas fontes para esta CVE especificamente, e não há indicação de flag de configuração que desative o componente vulnerável sem atualização — presumir que uma regra de WAF genérica bloqueia o bypass seria especulação, não fato verificado.

Não há assinatura de detecção documentada nas fontes consultadas para esta CVE especificamente. Como indício geral, requisições HTTP anômalas direcionadas a endpoints de autenticação/login da webGUI do Unraid, partindo de origens não usuais e seguidas por atividade compatível com execução de comandos (indicativa do encadeamento com CVE-2020-5847), merecem investigação — mas isso é inferência a partir do padrão de exploração conhecido, não uma assinatura confirmada por advisory técnico.

Dada a existência de módulo Metasploit, ambientes com IDS/IPS atualizados podem já ter assinaturas genéricas para esse módulo; confirmar isso exige checar a base de assinaturas da ferramenta específica em uso, informação que não está disponível nas fontes revisadas aqui.