LoadMaster Pre-Authenticated OS Command Injection

Falha de injeção de comandos do sistema operacional (CWE-78) na interface de gerenciamento do Kemp/Progress LoadMaster, explorável remotamente e sem autenticação. CVSS 10.0 e presença no catálogo KEV da CISA confirmam exploração ativa em campo. O impacto é o pior possível para um dispositivo desse tipo: controle total do apliance que fica na borda, decidindo o roteamento de tráfego de aplicações críticas.

A CISA classifica a falha como CWE-78 (OS Command Injection): um ponto da interface de gerenciamento (Web UI/API) do LoadMaster recebe entrada controlada pelo atacante e a repassa, sem sanitização adequada, para execução de comando no sistema operacional subjacente. O detalhe crítico do vetor CVSS — AV:N/AC:L/PR:N/UI:N — é que não há necessidade de credenciais nem de interação do usuário: basta alcançar a interface de gerenciamento pela rede.

Nas fontes efetivamente lidas nesta pesquisa não constam o path exato do endpoint vulnerável, o parâmetro específico manipulado, nem o trecho de código afetado — o advisory técnico completo da Kemp (support.kemptechnologies.com) foi referenciado mas seu conteúdo íntegro não foi acessado. O que está confirmado e verificável é a classificação CWE-78, a natureza pré-autenticação e o escopo CVSS Changed (S:C), indicando que a exploração compromete recursos além do componente vulnerável.

O pré-requisito real é alcançar, pela rede, a interface de gerenciamento do LoadMaster — não exige conta, token ou qualquer interação humana, e a complexidade de ataque é classificada como baixa. Isso significa que o risco prático depende inteiramente de como a management UI está exposta: ambientes que a mantêm isolada em rede de administração segregada (sem rota da internet) reduzem drasticamente a superfície; ambientes que expõem essa interface publicamente — configuração desencorajada pelo fornecedor, mas comum em deployments cloud e apliances mal segmentados — ficam expostos ao máximo do CVSS 10.0.

A existência de módulo Metasploit, template Nuclei e PoC pública baixa a barreira técnica para exploração em massa por scanners automatizados. A entrada no catálogo KEV da CISA confirma exploração observada in the wild (a CISA marca como "Unknown" quanto a uso em campanhas de ransomware, ou seja, não descarta nem confirma esse uso específico). O resultado final da exploração é execução arbitrária de comandos no sistema operacional do apliance, equivalente a controle administrativo total do dispositivo.

O fornecedor corrigiu a falha nas releases LMOS 7.2.48.10, 7.2.54.8 e 7.2.59.2 — três branches distintos, cada um recebendo o patch correspondente, conforme indicado no título do aviso de release da Kemp/Progress catalogado como referência. Atualizar para a versão corrigida do branch em uso é a mitigação definitiva; não há substituto real por configuração para uma falha de injeção de comando na própria camada de gerenciamento.

Onde a atualização imediata não for viável, o paliativo real é restringir o acesso de rede à interface de gerenciamento exclusivamente a redes administrativas confiáveis (VPN, allowlist de IP, segmentação de rede de management) — a management UI nunca deveria estar exposta diretamente à internet, e isso reduz a superfície porque a exploração depende de alcançar esse endpoint. Um WAF de terceiros posicionado na frente do LoadMaster não é garantia de mitigação, já que a falha reside no próprio dispositivo que tipicamente hospeda funções de WAF — o controle compensatório efetivo é isolamento de rede, não filtragem de payload na camada de aplicação.

Nas fontes consultadas não há assinatura de log, IOC ou padrão de tráfego publicado pelo fornecedor ou pela CISA para esta CVE especificamente — isso é informação relevante por si só: não existe indicador oficial confiável divulgado. Como a exploração é pré-autenticação contra a interface de gerenciamento, o sinal genérico a procurar é tráfego incomum direcionado a essa interface partindo de origens não administrativas, especialmente requisições contendo metacaracteres de shell nos parâmetros. A existência de módulo Metasploit e template Nuclei sugere que produtos de terceiros de IDS/IPS podem ter assinaturas próprias para tentativas de exploração desse endpoint, mas isso não foi confirmado nas fontes lidas.