CVE-2020-37052: Ubiquiti AirControl: execução remota de código pré-autenticada via injeção de expressão Java

Visão geral

O AirControl 1.4.2 é descrito como portador de uma falha de execução remota de código sem autenticação, causada por injeção de expressões Java (CWE-94, Injeção de Código). Segundo a descrição, o endpoint /.seam pode ser abusado por partes não autenticadas para executar comandos do sistema com os privilégios da aplicação. O registro indica publicação em 2026-01-30.

Impacto

O impacto descrito é a execução arbitrária de comandos no host que executa a aplicação.
O registro atribui CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Isso indica ataque pela rede, baixa complexidade, ausência de privilégios ou interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
O mesmo fornecedor de dados também lista CVSS 4.0 de 9.3.

Produtos e versões afetadas

A descrição menciona o AirControl 1.4.2.
A lista estruturada de produtos afetados está vazia, portanto a faixa completa de versões afetadas é desconhecida.
Nenhuma versão corrigida é listada. Isso não significa que não exista correção. Consulte o site do fornecedor em ui.com para verificar atualizações.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA.
Não há exploração confirmada no mundo real nas fontes consultadas.
As referências incluem uma entrada pública na Exploit-DB e um aviso da VulnCheck. A presença delas, por si só, não é evidência de exploração ativa.

Correção e mitigação

Levante todas as instâncias do AirControl e confirme as versões exatas em uso.
Verifique o site e os avisos do fornecedor e aplique as orientações quando estiverem disponíveis.
Restrinja o acesso à interface de gerenciamento a administradores confiáveis e mantenha-a fora da internet pública.
Coloque o serviço atrás de segmentação de rede ou controles de acesso e monitore-o de perto até que uma correção verificada seja aplicada.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns ao caminho /.seam, especialmente com conteúdo de parâmetros inesperado ou tamanho anormal.
Observe processos filhos inesperados ou conexões de saída originadas pela conta de serviço do AirControl.
Trate atividade de processo não explicada no host como possível incidente e siga o seu processo de resposta a incidentes.

Limitações das informações disponíveis

O registro não traz dados estruturados de versões afetadas ou corrigidas, portanto a exposição exata é desconhecida.
O status da fonte consta como Deferred, o que pode significar que a análise está incompleta.
Não há dados de EPSS ou SSVC no registro.
A disponibilidade de correção não pode ser determinada a partir do registro.

Perguntas frequentes

O CVE-2020-37052 está sendo explorado ativamente?

O registro indica que ele não consta no catálogo KEV da CISA, e não há exploração confirmada no mundo real nas fontes consultadas. Referências listadas não comprovam, por si só, exploração ativa.

Quais versões são afetadas?

A descrição menciona o AirControl 1.4.2, mas a lista estruturada de versões afetadas está vazia, então a faixa completa de versões afetadas é desconhecida.

O que os administradores devem fazer agora?

Levantar as instâncias do AirControl, restringir o acesso à interface de gerenciamento, monitorar o caminho /.seam nos logs e verificar o site do fornecedor até que uma correção verificada seja aplicada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.