CVE-2026-44257: efw4.X: RCE por zip slip em FileManager.unZip
A CVE-2026-44257 afeta versões do efw4.X anteriores à 4.08.010, nas quais a rotina de extração de arquivos zip não valida se os caminhos extraídos permanecem dentro do diretório de destino. Segundo o registro, um atacante remoto sem credenciais poderia gravar arquivos fora da pasta prevista e, potencialmente, executar comandos com o usuário de serviço do Tomcat. A pontuação base CVSS 4.0 registrada é 9.3 e a vulnerabilidade não consta no catálogo KEV da CISA.
Visão geral
O efw4.X é um Enterprise Framework para Web. Segundo o aviso do GitHub referenciado no registro, seu método de extração de arquivos zip (efw.file.FileManager.unZip) monta os caminhos de saída a partir dos nomes das entradas do arquivo, sem verificação de caminho canônico, de modo que as entradas podem ser gravadas fora do diretório previsto. O registro classifica o problema como CWE-77 (Injeção de Comando), enquanto o mecanismo descrito é de travessia de diretório (zip slip). Essa diferença é tratada nas limitações.
Impacto
- O vetor CVSS 4.0 do registro classifica os impactos de confidencialidade, integridade e disponibilidade como altos para o sistema vulnerável.
- O registro afirma que um atacante remoto sem credenciais poderia, por meio de um caminho de upload multipart combinado com a extração, colocar um script do lado do servidor em local acessível pela web e executar comandos com a conta de serviço do Tomcat.
- Segundo a descrição, qualquer local onde o processo Tomcat tenha permissão de escrita pode ser alcançado.
Produtos e versões afetadas
- Produto: efwGrp efw4.X
- Faixa afetada no registro: versões anteriores à 4.08.010 (version < 4.08.010). O limite inferior da faixa não é informado.
- Versão corrigida: 4.08.010, conforme a descrição. O campo de correções do registro está vazio, portanto essa versão vem apenas do texto da descrição.
Status de exploração
- CISA KEV: o registro indica que a vulnerabilidade não consta no catálogo KEV.
- Não há exploração confirmada no ambiente real nas fontes consultadas.
- O campo de exploração SSVC está registrado como poc, que indica status de prova de conceito nessa avaliação. Isso não confirma ataques.
- A probabilidade EPSS registrada é 0,0054, com percentil de 0,43921, datada de 2026-10-13 no registro.
Correção e mitigação
- Atualize o efw4.X para a versão 4.08.010 ou superior como ação principal.
- Se a atualização não puder ocorrer de imediato, restrinja o acesso à funcionalidade de upload de arquivos e a qualquer evento que dispare a extração de arquivos compactados a usuários e redes confiáveis.
- Execute o serviço Tomcat com privilégios mínimos e torne os diretórios da aplicação, especialmente a raiz da aplicação web, não graváveis pela conta de serviço, quando operacionalmente viável.
- Confirme a versão implantada com o aviso do GitHub, já que a lista de correções do registro está vazia.
- Revise implantações existentes em busca de arquivos inesperados em diretórios acessíveis pela web.
Orientações de detecção
- Analise os logs da aplicação e do Tomcat em busca de requisições de upload multipart seguidas de atividade de extração de arquivos.
- Monitore a criação de arquivos nos diretórios da aplicação web, especialmente novos arquivos de script do lado do servidor fora das janelas de implantação planejadas.
- Compare o conteúdo das raízes web com uma linha de base de implantação conhecida como íntegra.
- Mantenha um inventário das instâncias do efw4.X e de suas versões para identificar exposição rapidamente.
Limitações das informações disponíveis
- O source_status do registro é Deferred, portanto as entradas da NVD e do CVE podem estar incompletas ou mudar.
- O campo de correções está vazio; a versão corrigida depende do texto da descrição.
- O limite inferior da faixa de versões afetadas é desconhecido.
- O CWE atribuído no registro (CWE-77) difere do mecanismo de travessia de diretório descrito; a classificação não foi conciliada aqui.
- Não foi realizada verificação técnica independente para esta análise.
- Os valores EPSS e SSVC são apresentados conforme registrados e não foram validados de forma independente.
Perguntas frequentes
Quais versões do efw4.X são afetadas pela CVE-2026-44257?
O registro indica como afetadas as versões anteriores à 4.08.010. O limite inferior da faixa afetada não é informado.
A CVE-2026-44257 consta no catálogo KEV da CISA?
Não. O registro indica que ela não consta no KEV, e não há exploração confirmada no ambiente real nas fontes consultadas.
Qual ação é recomendada?
Atualize o efw4.X para a versão 4.08.010 ou superior. Se isso não for possível de imediato, restrinja o acesso às funcionalidades de upload e extração e execute o Tomcat com privilégios mínimos.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.