CVE-2026-6644: Injeção de comando do sistema operacional no cliente PPTP VPN do ASUSTOR ADM

Visão geral

O registro descreve uma falha de injeção de comando no sistema operacional (CWE-78) no componente de cliente PPTP VPN do ASUSTOR ADM. Segundo a descrição, a entrada fornecida pelo usuário não é validada de forma suficiente antes de chegar a um shell do sistema.

Impacto

A descrição afirma que um usuário administrativo pode sair do ambiente web restrito e executar código arbitrário no sistema operacional subjacente.
A descrição caracteriza a exploração bem-sucedida como execução remota de código, com comprometimento total do sistema.
A pontuação base da NVD é 9.1 (crítica). A entrada do CNA ASUSTOR também aparece no registro, com pontuação 9.4.

Produtos e versões afetados

ASUSTOR ADM: de 4.1.0 até 4.3.3.RR42, inclusive, e de 5.0.0 até 5.1.2.REO1, inclusive, conforme indicado na descrição.
ASUSTOR Data Master: de 4.1.0.rhu2 até antes de 4.3.3.RR42, e de 5.0.0.ra82 até antes de 5.1.2.reo1, conforme listado nos dados de afetação.
O registro não informa versões corrigidas.

Status de exploração

O CISA KEV não lista este CVE no registro, portanto não há afirmação de exploração ativa na natureza.
Os dados SSVC do registro indicam exploração no estágio de prova de conceito (poc) e marcam o problema como não automatizável.
Não há exploração confirmada nas fontes consultadas.

Correção e mitigação

Identifique todos os sistemas ADM e Data Master dentro das faixas afetadas e verifique se o recurso de cliente PPTP VPN está em uso.
Atualize para uma versão fora das faixas afetadas, seguindo a orientação do fornecedor ASUSTOR. O registro não indica uma build específica corrigida.
Restrinja contas administrativas a pessoal de confiança, exija autenticação forte e limite o acesso às interfaces administrativas a redes confiáveis.
Revise a atividade das contas administrativas em busca de alterações inesperadas até que o sistema seja corrigido.

Orientações de detecção

Revise os logs web e do sistema do ADM em busca de requisições administrativas incomuns às funções de configuração de VPN e de processos filhos inesperados iniciados pelo serviço web.
Monitore novas entradas ou alterações na configuração de VPN e conexões de saída inesperadas a partir do equipamento.

Limitações das informações disponíveis

O registro não informa versões corrigidas, e as faixas do ADM e do Data Master usam limites inclusivos e exclusivos diferentes.
O aviso do fornecedor não está entre as fontes fornecidas. A única referência é um texto de terceiros.
A pontuação 9.1 da NVD e a pontuação 9.4 do CNA diferem, e o registro não explica a diferença.
Detalhes públicos de exploração além do valor de exploração do SSVC não são descritos nas fontes.

Perguntas frequentes

Qual é a vulnerabilidade do CVE-2026-6644?

Trata-se de uma falha de injeção de comando no sistema operacional (CWE-78) no cliente PPTP VPN do ASUSTOR ADM. A validação insuficiente da entrada permite que um usuário administrativo execute código no sistema subjacente.

Este CVE está sendo explorado ativamente?

O CISA KEV não o lista no registro, e não há exploração confirmada na natureza nas fontes consultadas. Os dados SSVC indicam nível de exploração de prova de conceito.

Quais versões são afetadas?

A descrição lista o ADM de 4.1.0 até 4.3.3.RR42, inclusive, e de 5.0.0 até 5.1.2.REO1, inclusive. As faixas do Data Master usam limites superiores exclusivos em 4.3.3.RR42 e 5.1.2.reo1.

Existe uma versão corrigida disponível?

O registro não informa versões corrigidas. Consulte a orientação do fornecedor ASUSTOR para uma versão atualizada fora das faixas afetadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.