⚙️ Detalhamento Técnico

📨 Passo 1 — Entrega de E-mail Malicioso

O atacante envia um e-mail com um anexo especialmente criado.

🧩 Passo 2 — Bypass da Sanitização do Nome do Ficheiro

O FreeScout tenta bloquear ficheiros perigosos como .htaccess, mas o atacante:

• Adiciona um caractere Unicode de largura zero ao início
• Ignora a validação do nome do ficheiro
• O ficheiro é salvo como um ficheiro executável válido no servidor

💣 Passo 3 — Execução Remota

O atacante acede ao ficheiro enviado através do caminho web e executa comandos arbitrários.

Resultado:

✅ Se a operação for bem-sucedida, eis EXATAMENTE o que verá (passo a passo):

1. No seu terminal (logo após executar o script)

Verá também as instruções para os próximos passos impressas.

2. Quando executar o comando find no seu servidor FreeScout via SSH

Ele retornará imediatamente o caminho real completo para o ficheiro enviado, por exemplo:

(ou pasta de data/hora semelhante — isto confirma que o FreeScout salvou o anexo automaticamente).

3. A PROVA real de sucesso — no seu navegador (este é o momento em que sabe que tem RCE total)

Copie o caminho do passo 2 e abra este URL:

Verá esta saída exata (texto simples):

(Ou qualquer que seja o utilizador Apache/PHP no seu servidor — normalmente www-data, apache ou nobody).

Agora altere o comando e recarregue:

Verá:

E para ls -la:

Esta saída aparece diretamente na página do navegador (dentro de tags <pre> do webshell). Sem erro, sem código fonte PHP, sem 404.

Isto significa que tem execução remota de código total no servidor — o bypass do .htaccess + espaço de largura zero funcionou perfeitamente, e o anexo do e-mail foi processado sem qualquer interação do utilizador.

🎯 Porque Isto é Perigoso

• ⚡ Exploração de zero-clique
• 🌐 Superfície de ataque remota (e-mail)
• 🔓 Nenhuma autenticação necessária
• 🧨 Capacidade total de RCE
• 📂 Potencial exfiltração de dados
• 🔁 Movimentação lateral dentro de redes internas

📦 Versões Afetadas

Todas as versões do FreeScout:

✅ Versão Corrigida

Atualize imediatamente para:

🛡️ Medidas de Mitigação

1️⃣ Ação Imediata

• Atualize o FreeScout para a versão mais recente

2️⃣ Reforce o Servidor Web

• Desative AllowOverride All na configuração do Apache
• Restrinja a execução dentro de diretórios de anexos

3️⃣ Monitorize os Logs

Procure por:

• Ficheiros .htaccess suspeitos
• Envios de anexos incomuns
• Tentativas de acesso direto a /storage/attachments/

🔍 Dicas de Deteção

Indicadores de compromisso podem incluir:

• Ficheiros .htaccess desconhecidos em pastas de anexos
• Picos de tráfego de saída
• Servidor web a gerar processos shell
• Requisições POST/GET suspeitas para caminhos de anexos

🧪 Prova-de-Conceito (Conceptual)

📌 Vulnerabilidade Relacionada

Esta questão contornou as proteções adicionadas em:

• CVE-2026-27636

Demonstrando lógica incompleta de sanitização de nomes de ficheiros.

📊 Avaliação de Impacto

🧩 Lições Aprendidas

• A manipulação de Unicode deve ser normalizada antes da validação
• Nunca confiar apenas na filtragem de nomes de ficheiros
• Diretórios de anexos nunca devem permitir execução de código
• Vetores de zero-clique são superfícies de ataque de alto risco

📚 Referências

• Comunicado de Segurança do FreeScout
• Entrada NVD para CVE-2026-28289