Execução Remota de Código no VA MAX 8.3.4 via changeip.php

A exploração bem-sucedida do CVE-2019-25671 permite que um atacante execute comandos arbitrários no servidor VA MAX. Isso pode levar à tomada de controle completa do sistema, permitindo o acesso não autorizado a dados confidenciais, a instalação de malware, a modificação de configurações e a realização de ataques a outros sistemas na rede. A capacidade de executar comandos como o usuário Apache amplia o potencial de impacto, permitindo a exploração de outras vulnerabilidades ou a escalada de privilégios. A falha reside na falta de validação adequada da entrada do usuário no parâmetro mtu_eth0, permitindo a injeção de comandos maliciosos.

Organizations running VA MAX 8.3.4, particularly those with publicly accessible instances or those that have not implemented robust input validation, are at significant risk. Shared hosting environments where multiple users share the same VA MAX instance are also particularly vulnerable, as a compromise of one user's account could lead to a broader system compromise.

• php: Examine access logs for POST requests to changeip.php containing suspicious characters (;, |, &, etc.) in the mtu_eth0 parameter. • generic web: Use curl to test the changeip.php endpoint with a simple malicious payload (e.g., curl 'changeip.php?mtu_eth0=; whoami'). • linux / server: Monitor Apache user's process list (ps -u apache) for unexpected or malicious processes. • linux / server: Review system logs (/var/log/syslog or equivalent) for errors or unusual activity related to the changeip.php script.

1. 2026-04-05Disclosure

   disclosure

1. Reservado2026-04-05
2. Publicada2026-04-05
3. Modificada2026-04-06
4. EPSS atualizado2026-04-13

A mitigação primária para o CVE-2019-25671 é a atualização para uma versão corrigida do VA MAX. Como a versão 8.3.4 é a afetada, a atualização para uma versão posterior é crucial. Em ambientes onde a atualização imediata não é possível, a implementação de regras de Web Application Firewall (WAF) para filtrar requisições POST com metacaracteres de shell no parâmetro mtu_eth0 pode fornecer uma camada adicional de proteção. Além disso, a validação rigorosa de todas as entradas de usuário no endpoint changeip.php pode ajudar a prevenir a exploração. Após a atualização, confirme a mitigação testando o endpoint changeip.php com payloads de teste para garantir que a injeção de comandos seja bloqueada.