Aquele dispositivo KVM barato pode expor sua rede a comprometimento remoto

Dispositivos KVM-over-IP de baixo custo, vendidos como soluções práticas para administração remota, estão se revelando portas abertas para ataques de nível BIOS. A Eclypsium identificou nove falhas críticas em quatro marcas, mas o problema não é técnico ou pontual: é estrutural. Todos os fabricantes ignoraram controles básicos de segurança embarcada: firmware sem assinatura, interfaces de depuração expostas, senhas padrão codificadas, e endpoints de upload sem autenticação. A cadeia de RCE pré-autenticação no Angeet/Yeeso ES3 (CVSS 9.8) não exige credenciais nem interação do usuário, basta acesso à rede local ou, pior, à internet. E isso já acontece: o número de KVMs expostos no Shodan triplicou em sete meses, de 404 para 1.611 dispositivos acessíveis publicamente.

O risco real está no escopo de controle que um KVM comprometido oferece: o invasor pode reconfigurar o UEFI, injetar teclas durante o boot, forçar inicialização de USB maliciosa e instalar backdoors persistentes, mesmo após reinstalação do sistema operacional ou formatação do disco. Isso coloca esses dispositivos no mesmo patamar de ameaça que hardware de gerenciamento (BMC, iDRAC), mas com menos atenção, menos auditoria e zero exigência regulatória específica no Brasil.

Empresas brasileiras que adotaram KVMs baratos para suporte remoto em filiais, data centers locais ou infraestrutura crítica, como hospitais, fábricas ou órgãos públicos, podem ter exposto sua rede a um vetor de ataque capaz de contornar firewalls, EDRs e até criptografia de disco. Não se trata de 'mais uma vulnerabilidade': é um acesso privilegiado ao nível mais baixo do sistema, sem dependência de software instalado. A ausência de validação de firmware nas marcas GL-iNet e JetKVM, por exemplo, permite que um atacante substitua o firmware legítimo por uma versão modificada com backdoor permanente, e essa alteração não é detectável por ferramentas tradicionais de endpoint security.