CVE-2023-47246

Vulnerabilidade de path traversal (CWE-22) no SysAid On-Premise que permite a um atacante não autenticado escrever arquivos arbitrários dentro do webroot do Tomcat, resultando em execução de código remoto. Foi explorada como zero-day em novembro de 2023 pelo grupo rastreado pela Microsoft como DEV-0950/Lace Tempest, que usou a falha para instalar webshells e o trojan GraceWire. Está no catálogo KEV da CISA com exploração confirmada em campo, não apenas teórica.

A falha reside no serviço on-premise do SysAid e permite que um atacante manipule um caminho de arquivo para gravar conteúdo fora do diretório pretendido, alcançando o webroot do Tomcat (a instância embutida que serve a aplicação). O fornecedor não detalhou publicamente, nas fontes analisadas, qual endpoint ou parâmetro específico processa o caminho de forma insegura; a descrição oficial e o relato de incidente da própria SysAid confirmam apenas o efeito: escrita de arquivo controlada pelo atacante dentro da árvore de webapps do Tomcat.

No incidente documentado, o vetor de gravação usado foi um arquivo WAR malicioso — o formato nativo de deploy do Tomcat. Ao depositar um WAR em webapps, o próprio Tomcat expande e implanta a aplicação automaticamente, criando um contexto web novo e executável sem que o atacante precise de nenhuma outra falha de execução. O caminho completo observado foi C:\Program Files\SysAidServer\tomcat\webapps\usersfiles\, ou seja, o traversal permitiu posicionar o artefato exatamente onde o Tomcat monitora para deploy automático.

O impacto documentado — CVSS 9.8, C:H/I:H/A:H — reflete que a gravação de arquivo no webroot é, na prática, execução de código arbitrário no contexto do processo Tomcat/SysAid, tipicamente com privilégios elevados no host Windows onde o produto costuma ser instalado.

O vetor é rede, sem autenticação e sem interação do usuário (AV:N/PR:N/UI:N), o que explica o CVSS 9.8 e o EPSS próximo de 1. Bastou ao atacante alcançar a interface web do SysAid on-premise exposta para enviar o arquivo malicioso — não há indicação nas fontes de que seja necessária configuração não padrão para tornar o sistema explorável, além de o servidor estar acessível pela rede.

Na campanha documentada, o grupo DEV-0950/Lace Tempest enviou um arquivo WAR contendo um webshell para o diretório usersfiles do Tomcat via a falha de traversal. O Tomcat, ao detectar o novo WAR, implantou-o automaticamente, dando ao atacante um webshell funcional. A partir daí, scripts PowerShell foram executados através do webshell para baixar e rodar um loader (user.exe) que injetava o trojan GraceWire em processos legítimos do Windows (spoolsv.exe, msiexec.exe, svchost.exe), e um segundo script apagava rastros nos logs do Tomcat e do log4j da aplicação. Também foi observado o download e execução de um agente Cobalt Strike via PowerShell.

A sequência completa — do traversal ao controle total do host — não exige nenhuma condição especial de configuração do SysAid além de o serviço estar acessível; a complexidade de exploração é baixa e o resultado final documentado é comprometimento total do servidor Windows que hospeda o SysAid, com capacidade de movimento lateral a partir dali.

A correção é atualizar o SysAid On-Premise para a versão 23.3.36 ou superior, que remedia a vulnerabilidade segundo o próprio fornecedor. Não há, nas fontes analisadas, uma mitigação de configuração alternativa (WAF, flag, remoção de módulo) divulgada pela SysAid como substituto válido ao patch — a orientação oficial é atualizar e, adicionalmente, realizar uma avaliação de comprometimento completa do ambiente, já que a falha foi exploração ativa antes da divulgação pública.

Se a atualização imediata não for possível, a CISA KEV recomenda aplicar as mitigações do fornecedor ou descontinuar o uso do produto — não há paliativo formalmente reconhecido além disso nas fontes. Restringir o acesso de rede à interface do SysAid on-premise reduz a superfície de ataque, mas não elimina a vulnerabilidade caso o servidor precise permanecer acessível a usuários legítimos.

Organizações que rodaram versões vulneráveis antes de novembro de 2023 devem tratar isso como possível comprometimento pretérito, não apenas como patch pendente: a SysAid recomenda explicitamente auditoria de credenciais e logs, já que o atacante teve potencialmente acesso total ao servidor antes da correção.

A própria SysAid recomenda buscar arquivos incomuns dentro do diretório webroot do Tomcat, especialmente arquivos WAR, ZIP ou JSP com timestamps divergentes dos demais arquivos da instalação — sinal direto de gravação via traversal. Nos logs de proxy ou WAF na frente do SysAid, procurar requisições POST suspeitas endereçadas ao servidor por volta do período de exploração. No sistema operacional, verificar presença de webshells no caminho C:\Program Files\SysAidServer\tomcat\webapps\usersfiles\ (ou equivalente na instalação), processos anômalos originados de spoolsv.exe, msiexec.exe ou svchost.exe (usados para injeção do GraceWire), e conexões de saída para infraestrutura de Cobalt Strike. É importante notar que os próprios atacantes documentados executavam scripts para apagar entradas de log contendo os padrões userentry, getLogo.jsp, ldapSyms e usersfile — logs limpos ou com lacunas nesses padrões são, paradoxalmente, um indício de exploração e encobrimento, não de ausência dela.