CVE-2025-27920

Path traversal na aplicação Server Manager do Output Messenger (Srimax) permite que um usuário autenticado grave arquivos fora do diretório de upload pretendido, incluindo a pasta de Startup do Windows — abrindo caminho para persistência e execução de código, não apenas leitura de configuração. A CVE está no catálogo KEV da CISA porque foi usada como zero-day por um ator de espionagem (Marbled Dust/Sea Turtle) contra organizações associadas aos curdos no Iraque, entre abril de 2024 e o patch.

A falha (CWE-22, path traversal) está no recurso de upload de arquivos do Server Manager do Output Messenger, habilitado pela opção "output drive", que permite a qualquer usuário autenticado enviar e baixar arquivos do servidor. Por padrão, os arquivos enviados são gravados em C:\Program Files\Output Messenger Server\OfflineMessages\Temp\1\File. O endpoint de upload não sanitiza o parâmetro "name" da requisição: sequências ../ nesse campo permitem que o atacante escape do diretório de destino e escreva em qualquer caminho acessível ao processo do servidor.

Na exploração documentada pela Microsoft, o atacante substituiu o valor de "name" por uma cadeia de traversal apontando para a pasta de inicialização do Windows (ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp), depositando um script malicioso (OMServerService.vbs) que é executado automaticamente na reinicialização do servidor. Ou seja: o que a descrição oficial trata como "configuration leakage or arbitrary file access" na prática permite escrita arbitrária de arquivo, com caminho direto para execução de código no host do servidor.

O vetor CVSS publicado (AV:N/AC:L/PR:N/UI:N) sugere ausência de autenticação, mas a análise técnica da Microsoft descreve explicitamente o pré-requisito de um "authenticated user" com acesso à aplicação Server Manager — divergência relevante entre a pontuação de severidade e o mecanismo real de exploração descrito pelos pesquisadores que encontraram a falha.

Pré-requisito real: o atacante precisa ter uma conta autenticada no Output Messenger e o recurso de "output drive" (upload para o servidor) precisa estar habilitado pelo administrador — não é uma falha pré-autenticação livre, apesar do PR:N no vetor CVSS. A partir daí a exploração é de baixa complexidade: basta manipular o campo de nome do arquivo na requisição de upload com sequências ../ para direcionar a gravação a um caminho arbitrário no sistema de arquivos do servidor.

O ator rastreado pela Microsoft como Marbled Dust (também conhecido como Sea Turtle e UNC1326, ligado a interesses turcos) exploitou essa falha como zero-day desde abril de 2024 — antes da existência de patch — contra alvos no Iraque associados a operações militares curdas. A cadeia observada começa com acesso autenticado ao Server Manager (consistente com o histórico do grupo de roubo de credenciais via sequestro de infraestrutura DNS), seguido do upload do arquivo malicioso via traversal para a pasta de Startup, garantindo persistência e execução na reinicialização do servidor.

Uma vez com esse acesso, o atacante herda a posição central do servidor na arquitetura do Output Messenger: pode interceptar e coletar comunicações de todos os usuários, exfiltrar dados e se passar por usuários legítimos — impacto que vai muito além de "leitura de arquivo de configuração". A Microsoft também identificou uma segunda falha correlata (CVE-2025-27921), corrigida no mesmo ciclo, mas sem evidência de exploração ativa.

Atualizar para Output Messenger V2.0.63 ou posterior, que corrige o path traversal no upload do Server Manager. Esta é a única correção definitiva confirmada pelo fornecedor.

Se a atualização não for imediata, o paliativo real é desabilitar o recurso "output drive" (upload de arquivos para o servidor) no Server Manager, eliminando o caminho de exploração — ao custo de perder a funcionalidade de compartilhamento de arquivos via servidor para todos os usuários. Também vale revisar e restringir quem tem contas autenticadas com acesso ao Server Manager, já que a exploração exige uma sessão válida, e auditar a pasta de Startup do Windows do servidor por scripts não autorizados. Rotação de credenciais é recomendável dado o padrão de roubo de credenciais associado ao grupo que explorou esta falha.

Não há mitigação eficaz via WAF de borda: o Server Manager é uma aplicação de administração do próprio produto, não um endpoint HTTP genérico exposto a filtragem convencional — o controle compensatório real é reduzir superfície (desabilitar upload) ou restringir acesso de rede à interface de administração até a atualização ser aplicada.

Procurar por arquivos inesperados na pasta de inicialização do Windows do servidor Output Messenger, em especial scripts .vbs (o indicador documentado é OMServerService.vbs, mas o nome pode variar em outras campanhas). Nos logs do Server Manager, buscar requisições de upload cujo parâmetro de nome de arquivo contenha sequências ../ ou caminhos absolutos fora do diretório de upload padrão (OfflineMessages\Temp).

A Microsoft publicou queries de caça a ameaças para Microsoft Sentinel/Defender associadas a essa campanha; não há, porém, um indicador de rede único e confiável além do padrão de upload malformado — ambientes sem logging detalhado do Server Manager podem não ter visibilidade retroativa sobre exploração anterior ao patch, já que o uso como zero-day ocorreu meses antes da divulgação pública.