CVE-2024-39717

Falha de upload de arquivo de tipo perigoso (CWE-434) na função 'Change Favicon' da interface do Versa Director, que permite a um administrador já autenticado como Provider-Data-Center-Admin ou Provider-Data-Center-System-Admin enviar um arquivo malicioso disfarçado com extensão .png. O CVSS 6.6 reflete a alta barreira de exploração (AC:H, PR:H), mas a falha está no catálogo KEV da CISA por ter sido usada por um ator de ameaça avançado (APT) em pelo menos um incidente real, contra clientes que expunham a porta de gerência do Director na internet sem seguir as diretrizes de hardening da Versa.

O Versa Director permite que administradores de nível provedor personalizem a aparência da GUI, incluindo a troca do favicon exibido no navegador. Esse recurso aceita upload de arquivo com extensão .png, mas a validação do conteúdo enviado é insuficiente: o sistema confia na extensão declarada em vez de verificar o tipo real do arquivo (magic bytes/MIME), permitindo que um arquivo com payload arbitrário seja armazenado no servidor mascarado como imagem — clássico Unrestricted Upload of File with Dangerous Type (CWE-434).

O arquivo enviado é gravado no diretório /var/versa/vnms/web/custom_logo/ do Director. Se esse diretório for acessível ou executável no contexto do serviço web, ou se o conteúdo malicioso puder ser posteriormente invocado por outro componente, o atacante ganha um vetor de persistência ou execução dentro da infraestrutura de gerência — daí o Impact score alto (C:H/I:H/A:H) mesmo com AC:H.

O controle do atacante se limita ao conteúdo do arquivo enviado sob a extensão .png; ele precisa já ter uma sessão autenticada válida com um dos dois papéis privilegiados citados. Usuários de nível tenant não têm acesso a essa funcionalidade, o que restringe a superfície apenas a contas administrativas de topo do Director.

A exploração exige duas condições que a manchete 'vulnerabilidade crítica de upload' não deixa claras: (1) autenticação prévia bem-sucedida com privilégio Provider-Data-Center-Admin ou Provider-Data-Center-System-Admin, e (2) na prática documentada, exposição da porta de gerência do Versa Director diretamente na internet, sem os controles de firewall e hardening que a Versa publica desde 2015/2017. Sem essas condições, o vetor de acesso inicial não existe — a falha em si não é pré-autenticação.

No incidente relatado pela Versa, um ator de ameaça avançado (APT) obteve acesso inicial justamente através dessa exposição de porta de gerência, o que sugere que a cadeia real de ataque combina falha de configuração (management port exposta) com esta vulnerabilidade de upload para estabelecer persistência ou executar código no ambiente do Director — não é um exploit isolado de um único request malicioso.

A Versa classifica a exploração como difícil, e o vetor CVSS (AC:H, PR:H) confirma isso: requer privilégio administrativo alto e condições de ataque não triviais. Ainda assim, a existência de exploração confirmada no mundo real por um APT, associada à natureza de gerência centralizada do Director (que controla múltiplos ambientes de clientes SD-WAN downstream), justifica a entrada no KEV e a prioridade de correção mesmo com score CVSS moderado.

A correção definitiva é atualizar o Versa Director para uma versão com o hotfix de 21 de junho de 2024 ou posterior. A versão 22.1.4 não é afetada. Para quem está em 22.1.1 ou 21.2.2, não existe hotfix nessas linhas — é necessário migrar para 22.1.3 ou 21.2.3 (com o hotfix aplicado), respectivamente.

Como controle compensatório caso a atualização não seja imediata, a Versa recomenda aplicar as diretrizes de hardening de sistema (publicadas desde 2017) e os requisitos de firewall (publicados desde 2015), que restringem quais portas e protocolos devem estar expostos nas interfaces do Director. O fator determinante no caso real de exploração foi justamente a porta de gerência exposta à internet sem esse hardening — isso não é uma mitigação genérica, é a condição que, ausente, praticamente elimina o vetor de acesso inicial usado no ataque conhecido.

Não há menção de mitigação por WAF ou por desabilitar a função de favicon especificamente; a Versa não publicou esse tipo de paliativo, apenas patch e hardening de rede. Assumir que restringir apenas o papel de usuário (sem tratar a exposição de rede) resolve o problema é insuficiente, já que a exploração documentada dependeu de acesso de rede não autorizado à porta de gerência.

A própria Versa fornece um indicador de comprometimento direto: inspecionar o diretório /var/versa/vnms/web/custom_logo/ em busca de arquivos suspeitos enviados via a função de favicon. Para cada arquivo .png encontrado, executar 'file -b --mime-type ' — se o retorno não for exatamente 'image/png', o arquivo é suspeito e deve ser tratado como indicativo de exploração.

Não há assinatura de rede ou padrão de log adicional documentado nas fontes disponíveis; a detecção conhecida e confiável se limita a essa verificação de conteúdo do diretório de upload. Complementarmente, revisar logs de autenticação e sessões dos papéis Provider-Data-Center-Admin e Provider-Data-Center-System-Admin ajuda a identificar quem usou a funcionalidade de troca de favicon fora de padrões normais de uso administrativo.