CVE Intelligence
Análise Assistido por IA

CVE-2026-24936: ASUSTOR ADM: Validação Inadequada de Entrada em Programa CGI Permite Escrita Arbitrária de Arquivos

O ASUSTOR Data Master (ADM) contém uma falha de validação inadequada de entrada em um programa CGI, acessível quando uma função específica está habilitada durante a ingressão em um domínio AD. O registro indica que um atacante remoto não autenticado poderia escrever dados arbitrários em qualquer arquivo, e a NVD classifica o problema com 9.8 (Crítico) no CVSS 3.1. Não há exploração confirmada nas fontes consultadas, e o registro não lista uma versão corrigida.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

A ASUSTOR publicou um aviso para o CVE-2026-24936, uma vulnerabilidade no ASUSTOR Data Master (ADM) classificada como validação inadequada de entrada (CWE-20). Segundo o registro, ela envolve um programa CGI e é acionada quando uma função específica está habilitada durante a ingressão em um domínio Active Directory a partir do ADM. Os detalhes estão no aviso do fabricante.

Impacto

  • O registro descreve um atacante remoto não autenticado capaz de escrever dados arbitrários em qualquer arquivo do sistema.
  • A descrição afirma que a sobrescrita de arquivos críticos do sistema pode levar ao comprometimento completo do equipamento.
  • A NVD atribui 9.8 (CVSS 3.1, Crítico) com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. O CNA informa 9.5 no CVSS 4.0.

Produtos e versões afetados

  • Produto: Asustor Data Master (ADM).
  • O campo de versões afetadas lista o intervalo de 4.1.0.rhu2 até 4.3.3.rof1 inclusive, e de 5.0.0.ra82 até antes de 5.1.2.re51.
  • O texto da descrição menciona 4.1.0 até 4.3.3.ROF1 e 5.0.0 até 5.1.1.RCI1. As duas informações divergem no limite superior do ramo 5.x, por isso o aviso do fabricante deve ser consultado como lista definitiva.

Status de exploração

  • O registro indica que este CVE não consta no catálogo KEV da CISA, e não há pontuação EPSS disponível.
  • Não há exploração confirmada nas fontes consultadas para esta análise.

Correção e mitigação

  • Consulte o aviso do fabricante e atualize o ADM para uma versão fora das faixas afetadas. O registro não informa uma versão corrigida específica.
  • Até a aplicação da correção, evite habilitar a função de ingressão no domínio AD nos sistemas afetados, caso ela não seja necessária.
  • Restrinja o acesso às interfaces de gerenciamento do ADM a redes confiáveis e limite a exposição delas.

Orientações de detecção

  • Revise os logs do servidor web e do CGI em busca de requisições inesperadas a endpoints de gerenciamento, especialmente em torno de operações de ingressão no domínio AD.
  • Monitore alterações inesperadas em arquivos de sistema e de configuração, bem como comportamentos de serviço não explicados.
  • Compare a versão do ADM instalada com a indicada no aviso do fabricante.

Limitações das informações disponíveis

  • O registro não identifica o programa CGI específico, a função exata envolvida nem uma versão corrigida.
  • Os limites de versão divergem entre o texto da descrição e o campo de versões afetadas.
  • Dados de EPSS e SSVC não estão disponíveis.

Perguntas frequentes

O que é o CVE-2026-24936?

É uma vulnerabilidade crítica de validação inadequada de entrada em um programa CGI do ASUSTOR Data Master (ADM). Segundo o registro, ela pode permitir que um atacante remoto não autenticado escreva dados arbitrários em qualquer arquivo quando uma função específica está habilitada durante a ingressão em um domínio AD.

Este CVE está sendo explorado na prática?

O registro não o lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas para esta análise.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.