CVE-2020-5847 – Execução Remota de Código no Unraid
A vulnerabilidade CVE-2020-5847 permite execução de código arbitrário como root em servidores Unraid através da função PHP extract. A exploração já está confirmada em ambientes reais e tem alta probabilidade de ser usada nos próximos 30 dias (EPSS 95.8%). O risco é crítico, afetando confidencialidade, integridade e disponibilidade. A CISA exige atualização imediata do software. Prioridade máxima para mitigação.
Os dados são confirmados por múltiplas fontes: NVD (CVSS detalhado), EPSS (alta probabilidade de exploração) e CISA KEV (exploração ativa confirmada e ação obrigatória).
O que aconteceu
Um atacante pode enviar dados manipulados que exploram o uso inseguro da função PHP extract no Unraid, resultando em execução de código remoto com privilégios de root. O vetor CVSS 3.1 indica ataque via rede, baixa complexidade, sem necessidade de privilégios ou interação do usuário, gerando impactos máximos (C:H/I:H/A:H). O EPSS de 95.8% indica alta probabilidade de exploração nos próximos 30 dias, reforçando a urgência.
Por que isso importa
A execução como root permite ao invasor controlar totalmente o servidor, roubar ou destruir dados, instalar ransomware ou usar o host como ponto de salto para outras redes. Serviços críticos podem ficar indisponíveis, gerando perdas operacionais e de reputação.
Quem está em risco
Organizações que utilizam o sistema de armazenamento Unraid, independentemente do setor ou região, especialmente ambientes de produção que expõem a interface web ao tráfego interno ou externo.
Detalhes técnicos
Vetor de ataque: NETWORK; Complexidade: LOW; Privilégios exigidos: NONE; Interação do usuário: NONE. CWE: NVD-CWE-Other (code injection). Exploração baseada na função PHP extract que permite injeção de código. Referências de PoC/Exploit: http://packetstormsecurity.com/files/157275/Unraid-6.8.0-Authentication-Bypass-Arbitrary-Code-Execution.html, https://sysdream.com/news/lab/2020-02-06-cve-2020-5847-cve-2020-5849-unraid-6-8-0-unauthenticated-remote-code-execution-as-root/. Patches disponíveis nas páginas de anúncio do Unraid: https://forums.unraid.net/forum/7-announcements/.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Aplicar imediatamente as atualizações fornecidas pelo vendor conforme instruções nos anúncios oficiais do Unraid
- 2
Restringir o acesso à interface web do Unraid a redes confiáveis usando firewall ou VPN
- 3
Monitorar processos iniciados como root e revisar logs de PHP para chamadas suspeitas ao extract
Sugestões de detecção
- ›
Consultar logs de acesso web (e.g., nginx/Apache) por requisições POST que contenham parâmetros de entrada longos ou caracteres de controle que possam ser usados na função extract
- ›
Buscar eventos auditd ou syslog com execve de php ou scripts PHP executados como UID 0 nos últimos 24h
- ›
Criar alerta no SIEM para alterações inesperadas de arquivos binários ou scripts em /usr/local/emhttp ou diretórios de plugins do Unraid
Falsos positivos
Não há dados suficientes para avaliar falsos positivos, pois a fonte não fornece IOCs estruturados.