WhatsUp Gold HasErrors SQL Injection Authentication Bypass Vulnerability

Falha de SQL Injection (CWE-89) em WhatsUp Gold, produto de monitoramento de rede da Progress Software, que permite a um atacante não autenticado extrair a senha criptografada de usuário diretamente do banco de dados. A CISA confirma exploração ativa e inclui a falha no catálogo KEV, mas uma pré-condição central — presente na descrição da CISA e ausente da manchete — limita o impacto real: a exploração funciona sem autenticação apenas quando a instância está configurada com um único usuário.

A vulnerabilidade está associada ao componente identificado como 'HasErrors' na interface/API do WhatsUp Gold, onde um parâmetro de entrada é concatenado em uma consulta SQL sem sanitização ou uso de parâmetros preparados, permitindo injeção clássica (CWE-89). O fornecedor não publicou o trecho de código nem o endpoint exato de forma pública, e não há detalhamento técnico verificado sobre a query afetada nas fontes disponíveis.

O dado mais relevante fornecido pela própria CISA é a condição de exploração: a extração da senha via injeção só é possível sem autenticação quando a aplicação está configurada com apenas um usuário cadastrado. Isso sugere que a lógica vulnerável provavelmente assume ou consulta implicitamente 'o' usuário do sistema (singular) em algum fluxo de autenticação ou recuperação, e a injeção permite alterar essa consulta para vazar o hash da senha armazenada.

O resultado da exploração é a obtenção da senha do usuário em formato criptografado (hash), não em texto claro — o atacante ainda precisa quebrar ou reutilizar esse hash para obter acesso efetivo às credenciais, a menos que consiga usá-lo em algum mecanismo de autenticação que aceite o valor diretamente.

O vetor é rede/HTTP, sem necessidade de autenticação prévia (AV:N, PR:N no CVSS), o que combinado com a existência de módulo Metasploit, template Nuclei e PoC pública torna a exploração trivial de automatizar e escanear em massa — condição que provavelmente explica a exploração ativa registrada pela CISA e o EPSS próximo de 0,95 (alta probabilidade estatística de exploração observada).

A pré-condição real, no entanto, restringe o universo de instâncias exploráveis sem autenticação: o bypass de autenticação via SQLi para vazar a senha funciona quando o WhatsUp Gold está configurado com um único usuário. Ambientes com múltiplos usuários cadastrados podem não estar sujeitos ao mesmo caminho de exploração descrito pela CISA — o que não significa ausência de risco, apenas que o vetor documentado de bypass de autenticação depende dessa configuração específica.

O resultado prático da exploração é a obtenção do hash da senha do usuário armazenado no banco. A partir daí, o atacante precisa de um passo adicional (quebra de hash ou abuso de outra falha na mesma cadeia) para converter isso em acesso autenticado à console de administração do WhatsUp Gold, que por sua vez expõe controle sobre monitoramento de infraestrutura e, potencialmente, execução de comandos em dispositivos monitorados dependendo da configuração.

O fornecedor corrigiu a falha na versão WhatsUp Gold 2024.0.0 — todas as versões lançadas antes dessa são consideradas vulneráveis, segundo a descrição oficial da Progress. Não há detalhamento público sobre backports para ramos anteriores nas fontes disponíveis.

A atualização para 2024.0.0 ou posterior é a mitigação real. A CISA, no registro KEV, recomenda 'aplicar mitigações conforme instruções do fornecedor ou descontinuar o uso do produto se mitigações não estiverem disponíveis' — o que indica que, na ausência de patch aplicado, não existe paliativo de configuração validado publicamente que neutralize a falha; restringir exposição de rede (não expor a interface de administração/API à internet) reduz a superfície de ataque mas não elimina o risco caso haja acesso interno ou lateral.

Configurar múltiplos usuários não deve ser tratado como mitigação — é a condição observada para o cenário de exploração documentado pela CISA, não uma barreira testada e confirmada contra a injeção subjacente. A causa raiz é a query vulnerável, não o número de contas cadastradas.

Tentativas de exploração devem aparecer em logs de acesso web/API do WhatsUp Gold como requisições ao componente ou endpoint relacionado a 'HasErrors' contendo payloads típicos de SQL Injection (aspas, comentários SQL, operadores UNION/OR, sequências de codificação). A existência de template Nuclei e módulo Metasploit públicos facilita a identificação de assinaturas conhecidas em WAF ou IDS caso essas ferramentas tenham sido usadas no ataque, mas variantes manuais ou payloads customizados podem não corresponder a assinaturas genéricas.

Não há indicador de comprometimento único e confiável divulgado publicamente pelo fornecedor ou pela CISA para esta CVE especificamente; a recomendação prática é revisar logs de acesso a interfaces administrativas do WhatsUp Gold no período anterior à atualização para 2024.0.0, especialmente requisições anônimas com payloads SQL malformados, e verificar se hashes de senha de usuários foram potencialmente expostos e rotacioná-los preventivamente.