Vulnerabilidade Crítica em eID Belga Expôs Bancos e Governo a Ataques RCE

A vulnerabilidade crítica descoberta na extensão de assinatura eID da Connective, usada por bancos e agências governamentais na Bélgica, revela falhas graves na validação de origem e na gestão de bibliotecas dinâmicas. Pesquisadores identificaram que a ausência de verificação da fonte de requisições permitia a exfiltração de dados de smart cards e a recuperação de PINs de eID. Este vetor de ataque explorava a forma como o binário nativo da extensão expunha o token de PIN, contendo tanto o texto cifrado quanto a chave de descriptografia, diretamente para páginas web maliciosas.

O aspecto mais alarmante, a Execução Remota de Código (RCE), era possível através do comando GET_READERS, que permitia o carregamento de DLLs arbitrárias. Com uma técnica de "drive-by", usando um arquivo poliglota (como um PDF com extensão .dll), um atacante poderia executar código no sistema da vítima. O impacto vai além do roubo de dados, afetando a confiança no sistema de identidade digital belga (eIDAS e itsme), onde uma assinatura digital tem o mesmo peso legal de uma assinatura física. A falha comprometia a premissa de que o PIN e as chaves do eID são usados apenas com consentimento explícito.

A linha do tempo de correção da Nitro Software, desenvolvedora da Connective, mostra uma evolução na mitigação das falhas. Inicialmente, em 8 de maio de 2026, a Nitro implementou uma verificação de origem via servidor remoto, mas esta não abordava a RCE ou o vazamento do PIN. Após feedback dos pesquisadores, a correção completa foi publicada em 1 de junho de 2026. Esta atualização desabilitou o comando vulnerável que permitia o carregamento de DLLs e alterou o tratamento do PIN, que passou a ser armazenado em cache na extensão, com um UUID gerado aleatoriamente para referência. Finalmente, em 22 de julho de 2026, as verificações de origem foram totalmente aplicadas e impostas, impedindo a leitura silenciosa de eIDs e o phishing de PINs. A notícia atual confirma que a correção completa está agora em vigor, exigindo que todas as implementações do cliente Connective sejam atualizadas para versões posteriores a essa data para garantir a segurança.

Este caso ressalta a fragilidade das identidades digitais e a necessidade de auditorias de segurança rigorosas, especialmente em componentes críticos usados por governos e setor financeiro. A extensão da Connective, que serve como um pilar da infraestrutura de eID da Bélgica, sendo um Qualified Trust Service Provider (QTSP) sob as diretrizes eIDAS, expôs milhões de usuários a riscos de fraude e acesso não autorizado. A facilidade de exploração, com ataques "drive-by" via simples cliques em links, demonstra o perigo de falhas em validação de origem e na execução de código nativo por aplicações web. A confiança em sistemas de alta segurança como o eIDAS depende da integridade de cada elo da cadeia, e esta falha serve como um alerta para a importância da constante revisão e validação de código em toda a cadeia de suprimentos de software.