Falha crítica pré-autenticação no Kemp LoadMaster permite execução remota de código via API

A vulnerabilidade CVE-2026-8037 no Progress Kemp LoadMaster é uma falha de execução remota de código (RCE) via Pre-Auth que permite a um atacante não autenticado obter controle total do appliance. O problema reside na função escape_quotes(), responsável por "escapar" caracteres de aspas em dados de entrada da API. Na versão vulnerável, esta função alocava memória não inicializada com malloc() e não adicionava um terminador nulo à string de saída. Isso permitia que a função sprintf(), usada posteriormente para construir comandos shell, lesse além dos limites do buffer, incorporando dados residuais da memória e, consequentemente, executando comandos arbitrários.

A exploração da falha funciona pulverizando a heap com um payload malicioso e, em seguida, manipulando o campo apiuser com aspas simples para sobrescrever metadados do alocador de memória. Esse processo elimina os "bytes lixo" que impediriam a leitura contínua, fazendo com que sprintf() lesse o payload injetado e permita a execução remota de código. Essa técnica transforma uma falha aparentemente inofensiva de inicialização de memória em uma oportunidade para execução de código com privilégios de root, reforçando a importância de validação rigorosa de entradas e manipulação segura de memória em dispositivos de borda de rede.

A correção da vulnerabilidade CVE-2026-8037 apresenta duas mudanças críticas na função escape_quotes(). Primeiro, a alocação de memória mudou de malloc() para calloc(), garantindo que o buffer de saída seja inicializado com zeros. Isso impede que dados residuais de memória sejam lidos fora dos limites. Segundo, um terminador nulo foi explicitamente adicionado ao final da string de saída, resolvendo o problema principal que permitia a leitura de dados além do buffer. Essas alterações, embora aparentemente pequenas, neutralizam completamente a exploração da falha de RCE.

Essa falha tem um impacto direto e grave em empresas que usam o Kemp LoadMaster, um balanceador de carga e Application Delivery Controller (ADC) comum em redes corporativas. ADCs ficam na borda da rede, ou seja, são um alvo preferencial para ataques. Uma RCE Pre-Auth significa que um atacante consegue executar código sem autenticação prévia, o que é o pior cenário. Explorar essa vulnerabilidade em um LoadMaster pode levar ao comprometimento total da infraestrutura de rede, da confidencialidade dos dados e até mesmo da interrupção de serviços, gerando perdas financeiras e de reputação. Atualizar o sistema é urgente para empresas que operam com as versões afetadas.