CVE-2020-5849: Bypass de Autenticação no Unraid – Exploração Ativa
A vulnerabilidade CVE-2020-5849 permite que um atacante contorne a autenticação do painel administrativo do Unraid via rede, sem necessidade de credenciais ou interação do usuário. O risco é crítico, pois pode ser combinado com CVE-2020-5847 para execução remota de código como root. O EPSS indica 93,2% de chance de exploração nos próximos 30 dias. A CISA KEV confirma exploração ativa em ambientes reais, exigindo correção imediata. Prioridade máxima para mitigação.
Dados confirmados por NVD (vetor CVSS), EPSS com alta probabilidade de exploração e inclusão no catálogo CISA KEV com prazo de correção obrigatório, reforçando a confiabilidade das informações.
O que aconteceu
Um atacante pode enviar solicitações HTTP diretamente ao serviço web do Unraid e obter acesso ao painel administrativo sem autenticação válida. O vetor CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) demonstra que a exploração é de rede, de baixa complexidade, sem privilégios nem interação do usuário. O EPSS de 93,2% reflete a alta probabilidade de exploração nos próximos 30 dias, corroborada pela inclusão no catálogo CISA KEV.
Por que isso importa
O acesso não autorizado ao painel administrativo permite ao invasor visualizar e modificar configurações, instalar plugins maliciosos e, quando combinado com a vulnerabilidade adjacente CVE-2020-5847, executar código arbitrário como root, comprometendo toda a infraestrutura de armazenamento. Isso pode levar à perda de confidencialidade de dados críticos e à interrupção de serviços dependentes do Unraid.
Quem está em risco
Organizações que utilizam o sistema de armazenamento Unraid, independentemente do setor ou região, especialmente ambientes de produção ou laboratórios que expõem a interface web ao tráfego de rede.
Detalhes técnicos
Vetor de ataque: rede (AV:N), complexidade baixa (AC:L), sem privilégios (PR:N) e sem interação do usuário (UI:N). CWE-697 (Comparação Incorreta). Exploração resulta em bypass de autenticação, possibilitando acesso inicial (MITRE ATT&CK T1078 – Valid Accounts) e potencial escalada via exploração encadeada (MITRE ATT&CK T1190 – Exploração de Aplicação Pública). Referências de PoC: http://packetstormsecurity.com/files/157275/Unraid-6.8.0-Authentication-Bypass-Arbitrary-Code-Execution.html, https://sysdream.com/news/lab/2020-02-06-cve-2020-5847-cve-2020-5849-unraid-6-8-0-unauthenticated-remote-code-execution-as-root/
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o Unraid para a versão 6.8.0 ou superior, conforme instruções do fornecedor nos anúncios oficiais
- 2
Desative o acesso remoto ao painel administrativo se não for necessário, ou restrinja-o a IPs confiáveis via firewall
- 3
Implemente monitoramento de log de autenticação e habilite MFA para contas administrativas
- 4
Revise e remova quaisquer plugins ou scripts instalados que possam ter sido adicionados antes da correção
Sugestões de detecção
- ›
Consulte logs do servidor web do Unraid (ex.: /var/log/nginx/access.log) para requisições HTTP GET ao caminho /admin que retornam código 200 sem cookie de sessão; filtre por source.ip externo
- ›
No SIEM, crie regra: event.type="login_success" AND user="admin" AND auth_method="none" AND source.ip NOT IN internal_range; alerte para ocorrências
- ›
Monitore alterações inesperadas em arquivos de configuração do Unraid (/boot/config) que ocorram fora de janelas de manutenção programadas
Falsos positivos
Não há indicadores de comprometimento estruturados; alertas podem disparar por administradores legítimos que utilizam sessões já autenticadas ou por ferramentas de automação que acessam a interface sem cookie de sessão.