CISA alerta para exploração ativa de falha crítica de injeção de código em dispositivos Lantronix EDS5000

A vulnerabilidade CVE-2025-67038 permite a execução remota de código com privilégios máximos sem exigir autenticação prévia devido à ausência de validação no módulo HTTP RPC durante a gravação de logs.

Componente	Dispositivos da série Lantronix EDS5000 e conversores serial-to-IP de fabricantes como Lantronix e Silex.
Vetor	Injeção de comandos do sistema operacional explorando a concatenação direta do campo de usuário no processo de gravação de logs do módulo HTTP RPC.
Impacto	Execução remota de comandos arbitrários com privilégios de root, consequentendo na aquisição de controle total do dispositivo de borda sem a necessidade de credenciais válidas.
Prioridade	Isolar imediatamente os dispositivos expostos, restringir o acesso à interface HTTP RPC e aplicar as correções de firmware disponibilizadas pelo fabricante.

Resumo técnico

A agência de segurança cibernética dos Estados Unidos emitiu um alerta emergencial detalhando a exploração ativa de uma severa vulnerabilidade que afeta diretamente a infraestrutura de conectividade industrial e corporativa. O foco da advertência recai sobre as falhas de segurança nos dispositivos da série Lantronix EDS5000, especificamente a falha rastreada como CVE-2025-67038. Está vulnerabilidade possui uma pontuação de severidade máxima, indicando um risco catastrófico para a confidencialidade, integridade e disponibilidade dos ambientes comprometidos. A exploração em curso demonstra que atores maliciosos estão integrando tais vetores em suas campanhas para comprometer a ponte entre redes operacionais (OT) e tecnologia da informação (TI).

A descoberta desta grave vulnerabilidade de segurança foi inicialmente trazida a público pela equipe de pesquisa Forescout Vedere Labs no mês de abril de 2026. A investigação revelou que a falha não era um incidente isolado, fazendo parte de uma suíte mais ampla de vulnerabilidades designadas coletivamente como BRIDGE:BREAK, que assola dispositivos do tipo serial-to-IP fabricados pelas empresas Lantronix e Silex. Devido à sua natureza intrínseca de conexão entre ambientes tradicionalmente isolados, o comprometimento desses ativos representa um risco elevado de movimentação lateral e exposição de redes de controle industrial.

Fluxo técnico

A mecânica de exploração da vulnerabilidade CVE-2025-67038 revela uma falha arquitetônica clássica, porém devastadora, na manipulação de entradas de usuário dentro do ambiente do sistema operacional do dispositivo. O vetor reside especificamente no módulo HTTP RPC embarcado nos dispositivos Lantronix EDS5000. Quando um operador ou sistema remoto tenta a autenticação e falha, a arquitetura do serviço é programada para registrar aquele evento de falha em um arquivo de log do sistema para fins de auditoria e investigação de segurança.

Contudo, para escrever o nome de usuário inválido no log, o software realiza uma chamada de sistema operacional para executar um comando shell subjacente. O erro crítico de segurança ocorre porque a string do nome de usuário fornecida na requisição HTTP de autenticação é concatenada diretamente a este comando shell sem passar por qualquer tipo de sanitização, escape de caracteres ou validação estrita de entrada de dados. Como resultado, um atacante pode forjar uma requisição contendo caracteres especiais metacaracteres na estrutura do campo de nome de usuário.

Ao processar essa requisição maliciosa, o serviço de autenticação falha, mas o módulo HTTP RPC prossegue com o fluxo de log. O sistema operacional interpreta a string concatenada não apenas como texto inofensivo, mas como uma estrutura contendo comandos a serem executados pelo kernel ou pela shell do dispositivo. O impacto desta ação é a execução arbitrária de código, e devido à má configuração de privilégios no serviço que gerencia os logs, as instruções injetadas operam com privilégios de root. Isso garante ao atacante o domínio absoluto da máquina antes mesmo de estabelecer uma sessão autenticada válida, exacerbando o risco do ataque.

Superficie afetada

A superfície de ataque abrange predominantemente os dispositivos de conversão serial para IP pertencentes à série Lantronix EDS5000 expostos a redes inseguras ou à própria internet pública. Além do estoque principal da série EDS5000, o umbrella de falhas BRIDGE:BREAK contamina equipamentos equivalentes produzidos pela Silex, utilizados massivamente na automação industrial, gestão de infraestrutura crítica e ambientes de tecnologia de saúde e logística que ainda dependem de interfaces seriais legadas adaptadas para redes modernas.

No panorama mais amplo de dispositivos de borda de rede, alertas complementares apontam para uma onda paralela de exploração ativa em infraestruturas de rede UniFi OS. Neste cenário, vulnerabilidades encadeadas identificadas como CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910 também estão sofrendo abuso em ambientes reais.

• Dispositivos da série Lantronix EDS5000 e conversores serial-to-IP da Silex suscetíveis a falhas do projeto BRIDGE:BREAK.
• Aplicações de gestão UniFi OS alvos de cadeias de comando envolvendo as falhas CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910.
• Interfaces industriais onde os gateways seriais atuam como intermediários críticos, concentram maior risco no caso de movimentação lateral.

Hunting e telemetria

Para identificar tentativas de exploração direcionadas à injeção de código via módulos HTTP RPC, a vigilância ativa focada em logs e no tráfego HTTP é imperativa. As equipes de resposta a incidentes precisam monitorar anomalias estruturais nas mensagens de erro ou registros subsidiários gerados pelo sistema após tentativas frustradas de login. A presença de sequências incomuns de caracteres de escape ou metacaracteres operacionais no campo de texto referente à identidade do usuário solicitante é um sinal vital.

Adicionalmente, na telemetria focada na infraestrutura UniFi OS que possa estar sofrendo ataques correlatos, a verificação ativa de processos de rede e arquivos acessados de forma indevida guia a descoberta de brechas como path traversal e injeção de comando.

• Inspecionar registros de tentativas de autenticação mal sucedidas em busca de cargas anômalas concatenadas ou parâmetros extensos não alfanuméricos no campo de usuário.
• Monitorar processos originados pelo serviço web ou de gerenciamento RPC rodando em estado de privilégio máximo (root) e acionando execuções inesperadas de shells locais.
• Detectar requisições de rede direcionadas às portas de gerenciamento web de conversores Lantronix e Silex provenientes de endereços não confiáveis e fora do horário comercial estipulado.
• Buscar acesso indevido a arquivos estruturais essenciais do sistema subjacente resultantes de requisições malformadas explorando vulnerabilidades de path traversal ativas.

Mitigação

A contenção imediata e o hardening dos ativos representam a única via segura contra a escalada desta ameaça ativamente explorada. As agências reguladoras estabeleceram prazos rigorosos para que órgãos governamentais sanitizem suas redes, e a iniciativa privada deve seguir o mesmo protocolo imediatista dada a gravidade da exploração não autenticada.

• Implementar as correções e atualizações de firmware e software liberadas pela Lantronix, Silex e Ubiquiti para eliminação das vulnerabilidades citadas.
• Aplicar segmentação de rede rigorosa isolando os gateways seriais e os painéis do UniFi OS do tráfego não confiável e da internet global.
• Configurar controles de acesso baseados em regras de firewall whitelist, permitindo apenas que estáções de gestão homologadas se comuniquem com as interfaces HTTP RPC.
• Forçar a recriação de credenciais administrativas e analisar profundamente o histórico de logs dos dispositivos Debian, Unix ou sistemas proprietários similares para descartar comprometimento histórico não detectado anteriormente.