Vulnerabilidades críticas em Lantronix EDS5000 e UniFi OS que permitem executar comandos como root e tomar controle total

A agência americana CISA Alargou um alarme a sério: existem explorações activas contra uma vulnerabilidade crítica nos conversores série-a-IP Lantronix EDS5000 (CVE-2025-67038) e, ao mesmo tempo, também foram confirmados abusos na cadeia de execução remota que afecta a UniFi OS de Ubiquiti (CVE-2026-34908/34909/34910). A primeira falha permite a injeção de comandos através do parâmetro de nome do utilizador no módulo HTTP RPC e, segundo a descrição pública, os comandos injetados são executados com privilégios root, o que torna qualquer acesso a esse serviço numa porta direta para compromissos totais do dispositivo.

Esse tipo de defeitos não são meras desconforto técnico: com uma pontuação CVSS de 9.8 no caso de Lantronix e similares em UniFi OS, falamos de vetores que podem servir como trampolim para movimento lateral, exfiltração de dados ou instalação de portas traseiras persistentes em redes empresariais. A pesquisa inicial que mobilizou um conjunto de falhas em conversores de série-a-IP como BRIDGE:BREAK, publicada por equipes de pesquisa como Forescout Vedere Labs, evidencia que esses dispositivos - muitas vezes esquecidos em inventários - estão incorporados em infra-estruturas críticas de produção e controle que requerem menor atenção operacional, mas implicam alto risco operacional se forem comprometidos. Mais informações técnicas e notas de pesquisa podem ser consultadas no repositório de pesquisa do Forescout: Forescout Research.

Por sua vez, os incidentes relatados sobre a UniFi OS escalaram porque há um teste de conceito que acorrentado três falhas para conseguir um reverse shell com privilégios root em uma única petição, algo detalhado por pesquisadores como Bishop Fox. Essa capacidade significa que um atacante com acesso à rede pode, sem intervenção adicional, tomar controle absoluto do dispositivo e pivotar para outros sistemas na mesma rede. Bishop Fox explica técnicas e PoC em seu blog técnico, que é útil para compreender o mecanismo de exploração: Bishop Fox Blog.

A resposta imediata e prioritária é clara: aplicar os adesivos oficiais. CISA pediu às agências federais civis para instalar as correções para os EDS5000 antes do 26 de Junho de 2026, e Ubiquiti já publicou atualizações para as variantes da UniFi OS. No entanto, em ambientes operacionais reais, a aplicação de firmware e adesivos nem sempre é trivial: requer planejamento, janelas de manutenção e testes de compatibilidade. Dentro desse planejamento, deve-se incluir a validação de que as atualizações reproduzem os pontos de exposição (por exemplo, desativando o módulo HTTP RPC se não for necessário) e a verificação pós-parche através de digitalização e testes de regressão.

Se não for possível corrigir imediatamente, existem medidas atenuantes que devem ser implementadas sem demora. É conveniente isolar os dispositivos vulneráveis por trás da segmentação de rede, listas de controle de acesso e filtros que limitem o acesso ao porto e serviços afetados desde sub-redes não confiáveis ou internet. Bloquear o acesso HTTP/RPC a partir de redes externas, aplicar firewalls de borda e regras em IDS/IPS para detectar padrões de injeção de comandos podem ganhar tempo enquanto soluções permanentes são exibidas. Além disso, é indispensável realizar um inventário exaustivo: muitos ambientes nem sequer sabem quantos conversores série‐a‐IP ou gateways UniFi existem ativos em sua infraestrutura.

A gestão de incidentes deve assumir a possibilidade de compromisso prévio: rever logs, procurar indicadores de compromisso (IOCs) relacionados com comunicações atípicas, binários suspeitos ou contas modificadas, e aplicar controlos de contenção como roubar sessões, revogar credenciais e, se necessário, reconstruir dispositivos afetados desde imagens limpas. Para as organizações que operam infra-estruturas críticas ou cadeias industriais, a política mais prudente é desconectar dispositivos inseguros de redes de controle até confirmar sua integridade ou tê-los encaminhado a um procedimento de remediação controlado.

Não menos importante é a governação: estas vulnerabilidades sublinham a necessidade de políticas de aquisição e manutenção que exijam atualizações de segurança, suporte de ciclo de vida e contratos de resposta com fornecedores. As equipes de TI e OT devem coordenar inventários, testes e implantaçãos, e manter listas priorizadas de ativos críticos. Também é recomendável subscrever fontes de alertas oficiais e boletins de segurança - por exemplo, a página de CISA para avisos e alertas - para receber notificações precoces: CISA Alerts.

Finalmente, a lição mais ampla é operacional e cultural: os dispositivos de infraestrutura que tradicionalmente são considerados “periféricos” agora representam vetores centrais de risco. A combinação de explorações activas, de PoC públicas e de sistemas recentes exige que as equipas de segurança actuem rapidamente, mas com método. Implementar adesivos, segmentar redes, auditar inventários e preparar planos de resposta não são opções: são requisitos para minimizar o impacto de vulnerabilidades como CVE‐2025‐67038 e as séries CVE‐2026-34908/34909/34910 na UniFi OS.