TrueConf Client Update Integrity Verification Bypass

TrueConf Client baixa e executa o pacote de atualização entregue pelo servidor on-premises sem verificar assinatura ou integridade do arquivo (CWE-494). Não é uma falha de acesso remoto inicial: o atacante precisa já controlar o servidor TrueConf central (PR:H no vetor CVSS) para explorá-la, mas a partir daí transforma o comprometimento de um único servidor em execução de código em todos os clientes conectados na rede. Foi explorada ativamente na campanha de espionagem 'TrueChaos' contra órgãos governamentais no Sudeste Asiático, por isso está no catálogo KEV da CISA.

Quando o TrueConf Client inicia, ele consulta a versão instalada no servidor on-premises. Se o servidor reportar uma versão mais nova, o cliente exibe um prompt ao usuário oferecendo baixar a atualização a partir de uma URL do próprio servidor (algo como https://{trueconf_server}/downlods/trueconf_client.exe), que mapeia para um arquivo armazenado em C:\Program Files\TrueConf Server\ClientInstFiles\ no host do servidor.

O problema é que esse fluxo não faz verificação de integridade nem de autenticidade do binário antes de baixá-lo e executá-lo — não há checagem de assinatura digital, hash ou certificado contra uma origem confiável. O cliente simplesmente confia em qualquer arquivo que o servidor apresente como 'versão atual', classificando isso como CWE-494 (Download of Code Without Integrity Check).

O atacante controla o conteúdo do pacote de atualização (substituindo o executável em ClientInstFiles) e o rótulo de versão que o servidor reporta ao cliente. O que ele não controla diretamente é o clique do usuário — o fluxo exige interação humana no prompt de atualização, e é isso que explica a exigência de UI:R no vetor CVSS, além de PR:H para refletir que o pré-requisito é controle administrativo do servidor.

Pré-condição real: o atacante precisa ter comprometido previamente o servidor TrueConf on-premises que gerencia os clientes-alvo (acesso administrativo suficiente para substituir o arquivo em ClientInstFiles). Isso não é uma falha explorável remotamente contra um cliente isolado; é uma técnica de escalada e propagação lateral a partir de um servidor já sob controle do atacante, dentro da mesma rede local (AV:A).

Na campanha documentada pela Check Point Research ('Operation TrueChaos'), o operador já havia trocado o pacote de atualização no servidor comprometido de uma agência governamental. As vítimas eram induzidas — provavelmente via link que abria o cliente TrueConf já instalado — a interagir com a aplicação, momento em que o prompt de atualização aparecia oferecendo a versão adulterada. Ao aceitar, o cliente baixava e executava o payload malicioso sob o pretexto de uma atualização legítima, entregando o framework de C2 Havoc nas máquinas comprometidas.

A Check Point atribui a atividade, com confiança moderada, a um agente com nexo chinês, com base em TTPs, infraestrutura de C2 e vitimologia (foco em governos do Sudeste Asiático). A vulnerabilidade está confirmada como explorada in-the-wild (zero-day) antes da correção — não há indicação nas fontes de exploração automatizada em massa fora desse contexto direcionado.

A correção está incluída no cliente TrueConf para Windows a partir da versão 8.5.3, lançada em março de 2026. A fonte do fornecedor confirma explicitamente a correção apenas para o cliente Windows; não há confirmação nas fontes disponíveis sobre se ou quando os clientes macOS e Linux receberam correção equivalente — trate esses como status não verificado até confirmação do fornecedor.

Como controle compensatório, o ponto crítico é proteger o servidor TrueConf on-premises, não o cliente: restringir rigorosamente quem tem acesso administrativo ao servidor e ao diretório C:\Program Files\TrueConf Server\ClientInstFiles\, monitorar integridade (hash) do executável de atualização armazenado ali, e segmentar a rede para reduzir quem consegue alcançar o servidor. Isso não elimina a vulnerabilidade no cliente, mas reduz a chance de alguém chegar à posição necessária para abusá-la (PR:H).

O que não resolve: treinar usuários para 'não clicar em atualizações suspeitas' ajuda pouco aqui, porque o prompt malicioso é indistinguível visualmente de uma atualização legítima — ele vem da mesma interface confiável do cliente TrueConf. A mitigação eficaz é técnica (atualizar o cliente e proteger o servidor), não comportamental.

As fontes não fornecem uma lista pública de IOCs (hashes, domínios de C2, regras de detecção) associada especificamente a esta CVE. Como sinal indireto, vale monitorar: prompts de atualização do TrueConf Client não correspondentes a uma janela de manutenção planejada; integridade do arquivo trueconf_client.exe hospedado em ClientInstFiles no servidor on-premises (alteração de hash fora de processo de release oficial); e, no ambiente comprometido pela campanha TrueChaos, indicadores de execução do framework de C2 Havoc pós-atualização — mas nenhum indicador de rede específico foi disponibilizado nas fontes consultadas para este relatório.