Exploração ativa visa falha de injeção de comandos no Progress Kemp LoadMaster

Atacantes não autenticados exploram vulnerabilidade crítica de execução remota de código no endpoint de API do balanceador de carga através de manipulação de memória heap.

Componente	Appliance de balanceamento de carga Progress Kemp LoadMaster, especificamente na interface de API
Vetor	Requisições HTTP não autenticadas que causam corrupção de memória na função escape_quotes() e habilitam injeção de comandos via endpoint /accessv2
Impacto	Execução remota de código e injeção arbitraria de comandos no sistema operacional subjacente do equipamento de rede
Prioridade	Instalar as atualizações de segurança liberadas, buscar atividades suspeitas em logs e isolar as interfaces de gerenciamento web

Resumo técnico

A unidade de resposta a ameaças da eSentire identificou tentativas de exploração ativa contra uma recente vulnerabilidade crítica que afeta os appliances de balanceamento de carga Progress Kemp LoadMaster. A falha, rastreada como CVE-2026-8037 e possuindo uma pontuação CVSS de 9.6, representa uma ameaça severa a infraestruturas de rede corporativa, permitindo a execução remota de código e a injeção de comandos no sistema operacional. As tentativas de ataque observadas pela equipe de inteligência tiveram início em 29 de junho de 2026 e, embora as explorações iniciais relatadas não tenham resultado em atividades de pós-comprometimento bem-sucedidas, a disponibilidade pública de técnicas detalhadas e provas de conceito publicadas pela watchTowr Labs aumenta significativamente o risco para ambientes não corrigidos.

A gravidade da situação é ampliada pelo fato de a vulnerabilidade não exigir pré-autenticação. Isso significa que atacantes remotos não autenticados que possuam acesso de rede à interface do appliance podem enviar parâmetros manipulados para executar comandos arbitrários diretamente no sistema operacional subjacente. O fabricante Progress já havia lançado um alerta oficial reconhecendo o problema, enfatizando que a falha de injeção na API do LoadMaster permite que invasores ignorem controles de acesso tradicional e assumam o controle total do dispositivo vulnerável através do uso de entradas não sanitizadas. Está nova falha se junta a um histórico de exposições no mesmo produto, assemelhando-se à CVE-2024-1212, outra vulnerabilidade crítica que também sofreu exploração ativa no ecossistema do LoadMaster.

Fluxo técnico

A análise técnica aprofundada conduzida pelos pesquisadores revelou a mecânica interna exata que possibilita o comprometimento do sistema. A vulnerabilidade raiz é originada a partir de um erro de lógica na sanitização de entradas dentro de uma função de código específica nomeada escape_quotes(). O propósito desta função na arquitetura do software do balanceador de carga é filtrar aspas e caracteres especiais de dados fornecidos pelo usuário, visando evitar quebras de estrutura ou injeção de comandos no sistema hospedeiro responsável pelo processamento das requisições de balanceamento.

O defeito central na implementação da função escape_quotes() reside no tratamento inadequado de memória de strings. Durante o processo de limpeza da entrada, o algoritmo falha em anexar o caractere nulo de terminação correto nas strings sanitizadas. Está omissão crítica causa uma falha de leitura fora dos limites da memória, diretamente direcionada à memória heap adjacente, que pode conter dados sensíveis ou ponteiros de controle de fluxo. Ao explorar este comportamento inesperado de manipulação de memória, um agente malicioso consegue enviar requisições HTTP meticulosamente construídas para o endpoint específico de API /accessv2.

A manipulação bem-sucedida da memória heap induz o sistema comprometido a interpretar dados arbitrários controlados pelo atacante como instruções de código legítimas. Dessa forma, a falha de corrupção de memória evolui elegantemente para uma vulnerabilidade de injeção de comandos no sistema operacional. A pré-condição técnica para a execução do ataque é meramente o acesso de rede à interface de API do LoadMaster. O ataque ocorre em estágios discretos: inicialmente corrompendo a memória do processo web por meio do endpoint /accessv2, para em seguida escalar os privilégios de execução e disparar comandos arbitrários sem a necessidade de credenciais de administrador.

O impacto técnico do sucesso desta exploração é considerado catastrófico para a confidencialidade, integridade e disponibilidade das aplicações dependentes do tráfego de rede. Como a falha permite a injeção direta de instruções no sistema operacional de fundo, o invasor adquire privilégios de controle sobre o hospedeiro físico ou virtual. Neste nível de comprometimento profundo, todos os fluxos de tráfego de rede que passam pelo LoadMaster podem ser interceptados, redirecionados ou destruídos. É vital que as equipes de resposta a incidentes compreendam que o controle deste dispositivo permite que atacantes atuem como intermediários (Man-in-the-Middle), além de utilizarem a posição do balanceador como um ponto de pivotamento estrutural para alcançar redes internas distintas.

Superfície afetada

Toda a arquitetura corporativa que mantém appliances de balanceamento de carga Progress Kemp LoadMaster operando sem as atualizações de segurança mais recentes encontra-se exposta a está vulnerabilidade de execução remota de código. A exploração bem-sucedida concede aos atacantes um controle devastador sobre os fluxos de comunicação de rede.

• Appliances físicos e virtuais do Progress Kemp LoadMaster que não receberam as correções de software liberadas pelo fabricante.
• Dispositivos expostos diretamente à internet ou localizados em redes internas com APIs acessíveis e rotas de gerenciamento desprotegidas.
• Serviços de API que utilizam ativamente o endpoint /accessv2 e processam dados sem o isolamento adequado para strings.
• Infraestruturas de missão crítica onde dispositivos de balanceamento operam como o principal ponto de ingresso para requisições web e transferência de dados corporativos.
• Ambientes que herdaram configurações de segurança precárias de versões anteriores, suscetíveis à mesma família de ataques observada na CVE-2024-1212.

Hunting e telemetria

A detecção precoce deste vetor de ataque exige uma análise minuciosa dos logs de acesso ao servidor web embutido no LoadMaster, bem como o monitoramento contínuo da telemetria de rede e de processo associada ao tráfego.

• Monitorar de forma ativa os logs HTTP buscando padrões anômalos, como requisições não autenticadas contendo strings malformadas ou comprimentos inesperados direcionadas ao endpoint de API /accessv2.
• Inspecionar as respostas do servidor web em busca de códigos de erro inesperados, como retornos de erro interno do servidor (HTTP 500), que possam indicar instabilidade decorrente de falhas na leitura da memória heap adjacentes.
• Analisar logs de auditoria do sistema operacional do balanceador de carga para identificar a criação de processos não autorizados, spawns de shells estranhos ou execução de utilitários do sistema operacional a partir do contexto da aplicação web.
• Revisar cuidadosamente as alterações na configuração do sistema, incluindo a criação de novos usuários, alterações em certificados digitais ou no comportamento do protocolo de roteamento de rede.
• Buscar indícios de comunicação de saída anômala originária do appliance de balanceamento de carga tentando alcançar servidores sob controle de atacantes, o que poderia indicar estágios avançados de infecção e acesso remoto persistente.

Mitigação

Dada a extrema gravidade da CVE-2026-8037 e sua classificação como um vetor crítico de execução remota de código pré-autenticação, as equipes de operações e segurança de infraestrutura devem implementar ações de contenção imediatas. A existência de códigos de prova de conceito automatizados e detalhamento técnico público exige uma resposta ágil para proteger o tráfego de rede.

Como os equipamentos LoadMaster operam em regiões estratégicas e sensíveis da topologia de rede, frequentemente lidando com dados privilegiados, o comprometimento desses nós exige medidas de hardening contínuas e segregação estrita.

• Instalar imediatamente os patches e versões de firmware de segurança liberados oficialmente pela Progress, selando a falha na sanitização de memória presente na função escape_quotes().
• Restringir rigorosamente o acesso à interface de gerenciamento e ao endpoint de API /accessv2 implementando listas de permissão de IP (IP allowlisting), garantindo que apenas estáções de administração confiáveis possam se comunicar com o painel.
• Implementar inspeção temporária de tráfego rigorosa via Web Application Firewall (WAF) ou filtros de rede avançados para detectar e bloquear anomalias de memória e anomalias estruturais direcionadas a barragens de autenticação do balanceador.
• Conduzir uma auditoria profunda na plataforma para verificar ativamente se houve comprometimento anterior, procurando por contas novas, modificações em arquivos de configuração de sistema ou scripts de inicialização alterados.
• Revisar as políticas de segmentação de rede e roteamento para garantir que o appliance LoadMaster esteja estritamente isolado em uma DMZ dedicada, impossibilitando o tráfego lateral não autorizado para sub-redes administrativas em caso de invasão bem-sucedida do sistema.