CVE-2025-61932

Falha no protocolo de comunicação entre o Lanscope Endpoint Manager (versão on-premises) e seus agentes de endpoint — Client program (MR) e Detection Agent (DA) — que não verifica corretamente a origem dos pacotes recebidos. Isso permite que um atacante na rede envie pacotes forjados para o agente instalado nas máquinas cliente e execute código arbitrário sem autenticação nem interação do usuário. A MOTEX confirmou que um cliente recebeu pacotes maliciosos que parecem visar exatamente essa falha antes da divulgação pública, e a CISA já incluiu a CVE no catálogo KEV por exploração confirmada.

A vulnerabilidade é classificada como CWE-940 (Improper Verification of Source of a Communication Channel). O MR e o DA — componentes que rodam nas estações de trabalho e recebem comandos/atualizações do servidor gerenciador Lanscope — aceitam pacotes de rede sem validar adequadamente se eles realmente vieram do servidor legítimo. Isso quebra o modelo de confiança do canal manager-agent: qualquer origem capaz de alcançar a porta de comunicação do agente pode se passar pelo gerenciador central.

O vetor de ataque é de rede (AV:N), sem necessidade de privilégios (PR:N), sem interação do usuário (UI:N) e sem pré-requisitos de ataque adicionais (AT:N) — o que explica o score CVSS 4.0 de 9.3 e o CVSS 3.0 de 9.8 atribuído pela própria MOTEX. O impacto reportado é execução de código arbitrário no host onde o MR/DA está instalado, ou seja, comprometimento total do endpoint gerenciado.

O problema afeta apenas a versão on-premises. A versão em nuvem (Cloud) do Lanscope Endpoint Manager não é vulnerável, segundo o fornecedor — presumivelmente porque a arquitetura de comunicação difere e não expõe o mesmo canal manager-agent diretamente na rede do cliente.

Para explorar a falha, o atacante precisa apenas de conectividade de rede até a porta usada pelo MR ou DA nos endpoints — não precisa de credenciais, não precisa que o usuário clique em nada, e o CVSS 4.0 indica que não há condições especiais de ataque (AT:N). Isso torna o alvo qualquer ambiente que exponha esses agentes a redes não totalmente confiáveis, incluindo segmentos internos comprometidos por outro vetor.

A MOTEX declarou que um cliente já recebeu pacotes maliciosos suspeitos de visar essa vulnerabilidade, o que motivou a divulgação coordenada com a JPCERT/CC. A CISA adicionou a CVE ao catálogo KEV em 22/10/2025 com prazo de correção até 12/11/2025, confirmando exploração ativa — embora não haja indicação de que esteja associada a campanhas de ransomware conhecidas até o momento.

O resultado final da exploração é execução de código arbitrário no endpoint com os privilégios do processo do agente, dando ao atacante um ponto de apoio persistente na máquina — potencialmente cada estação de trabalho da organização que roda o MR/DA vulnerável.

A correção definitiva é atualizar o Client program (MR) e o Detection Agent (DA) instalados nos endpoints. A MOTEX publicou versões corrigidas para cada branch: 9.3.2.7, 9.3.3.9, 9.4.0.5, 9.4.1.5, 9.4.2.6, 9.4.3.8, 9.4.4.6, 9.4.5.4, 9.4.6.3 e 9.4.7.3. O fornecedor destaca que apenas o lado cliente precisa ser atualizado — não é necessário atualizar o servidor gerenciador (Manager).

A MOTEX também recomenda aplicar um workaround enquanto a atualização não é feita, mas os detalhes técnicos desse workaround estão publicados apenas no portal de suporte do cliente (LANSCOPE PORTAL), que exige login — as fontes públicas consultadas não descrevem seu conteúdo, então não é possível reproduzi-lo aqui com precisão. Quem não tem acesso imediato ao portal deve tratar como controle compensatório a restrição de rede: isolar o tráfego de comunicação entre agentes e o gerenciador, impedindo que hosts fora do segmento de gerenciamento confiável alcancem a porta usada pelo MR/DA.

A JVN e a CISA reforçam que, se nenhuma mitigação for viável, a alternativa é descontinuar o uso do componente vulnerável até a correção — não há mitigação de configuração alternativa documentada nas fontes consultadas além da atualização e do workaround restrito ao portal do fornecedor.

Nenhum indicador de comprometimento (IOC) específico — assinatura de pacote, porta exata ou padrão de payload — foi publicado nas fontes consultadas. O sinal mais concreto disponível é o próprio relato da MOTEX de que um cliente recebeu pacotes externos anômalos direcionados ao serviço do agente antes da divulgação; isso sugere monitorar tráfego não esperado chegando às portas de comunicação do MR/DA a partir de origens fora do segmento do servidor gerenciador legítimo, e processos filhos inesperados spawnados pelos serviços do agente Lanscope nos endpoints.

Como o fornecedor não detalhou publicamente a porta, protocolo ou estrutura do pacote exploitável, times de detecção dependem de telemetria de host (EDR) para identificar execução de processo anômala originada pelo serviço do MR/DA, mais do que de assinatura de rede confiável.