CVE-2026-39031: Lansweeper lsrunase 2.0 / lsencrypt 2.0 Password Recovery

Resumo

O lsrunase 2.0 e o lsencrypt 2.0 da Lansweeper usam um esquema de criptografia de senha reversível baseado em RC4. A chave RC4 é derivada de um prefixo de 8 caracteres armazenado em texto claro junto com a senha criptografada e material de chave fixo embutido nos binários.

Qualquer pessoa que tenha uma string de senha criptografada produzida por qualquer uma das ferramentas pode recuperar a senha em texto puro offline. O processo de recuperação não requer força bruta: separe o prefixo em texto claro do valor criptografado, reconstrua o buffer de chave, calcule um resumo SHA-1 e descriptografe um texto cifrado RC4.

Este problema recebeu a designação CVE-2026-39031. Os registros públicos de CVE e NVD podem não aparecer até que a divulgação seja publicada e a propagação do registro seja concluída.

Produtos Afetados

O componente afetado é a rotina de criptografia de senha usada por lsrunase.exe 2.0 e lsencrypt.exe 2.0.

Distinção de Problemas Antigos do LSrunasE

Este não é o problema antigo do LSrunasE / Supercrypt registrado como CVE-2007-6340. Esse CVE antigo afetou o LSrunasE 1.0 da Geert Moernaut e o Supercrypt 1.0.

CVE-2026-39031 cobre especificamente o lsrunase 2.0 e o lsencrypt 2.0 da Lansweeper. A construção vulnerável é diferente: esses binários derivam a chave RC4 de um prefixo de 8 caracteres em texto claro mais um sufixo fixo de 142 bytes embutido nos binários.

Detalhes Técnicos

Um valor de senha criptografada é construído como:

prefixo de 8 caracteres || base64(RC4(senha em texto puro))

O processo de criptografia é:

1. Gere um prefixo ASCII de 8 caracteres no intervalo 0x3f a 0x7e.
2. Construa um buffer de chave de 150 bytes a partir do prefixo de 8 bytes seguido por um sufixo fixo de 142 bytes embutido no binário.
3. Calcule SHA1(key_buffer) para produzir a chave RC4 de 20 bytes.
4. Criptografe a senha em texto puro com RC4.
5. Codifique em Base64 o texto cifrado RC4.
6. Prefixe a saída Base64 com o prefixo original de 8 caracteres.

O sufixo fixo de 142 bytes é:

0x27 0x0F 0x29 0x11 0x2B 0x13 0x2D 0x15
0x2F 0x17 0x31 0x19 0x33 0x1B 0x35 0x1D
0x37 0x1F 0x39 0x21 0x3B 0x23 0x3D 0x25
0x3F 0x27 0x41 0x29 0x43 0x2B 0x45 0x2D
0x47 0x2F 0x49 0x31 0x4B 0x33 0x4D 0x35
0x4F 0x37 0x51 0x39 0x53 0x3B 0x55 0x3D
0x57 0x3F 0x59 0x41 0x5B 0x43 0x5D 0x45
0x5F 0x47 0x61 0x49 0x63 0x4B 0x65 0x4D
0x67 0x4F 0x69 0x51 0x6B 0x53 0x6D 0x55
0x6F 0x57 0x71 0x59 0x73 0x5B 0x75 0x5D
0x77 0x5F 0x79 0x61 0x7B 0x63 0x7D 0x65
0x7F 0x67 0x81 0x69 0x83 0x6B 0x85 0x6D
0x87 0x6F 0x89 0x71 0x8B 0x73 0x8D 0x75
0x8F 0x77 0x91 0x79 0x93 0x7B 0x95 0x7D
0x97 0x7F 0x99 0x81 0x9B 0x83 0x9D 0x85
0x9F 0x87 0xA1 0x89 0xA3 0x8B 0xA5 0x8D
0xA7 0x8F 0xA9 0x91 0xAB 0x93 0xAD 0x95
0xAF 0x97 0xB1 0x99 0xB3 0x9B

Como o prefixo é armazenado em texto claro e o restante do material da chave é fixo em todas as instalações, todas as informações necessárias para derivar a chave RC4 estão disponíveis para um invasor que tenha uma string de senha criptografada e uma cópia do binário ou desta análise.

Prova de Conceito

O script de prova de conceito não tem dependências de terceiros e funciona com Python 3.

$ python lsrunase2cve.py --decrypt "IssS|CI|NTOEHK5Q9l7Sn89xEA67+wo="
Decrypted: testpassword12345

O valor criptografado acima foi gerado pela GUI LSrunasE 2.0 password encrypter 2.0 para o valor em texto puro testpassword12345.

Para uma verificação de criptografia reproduzível usando o mesmo prefixo:

$ python lsrunase2cve.py --encrypt "testpassword12345" --prefix "IssS|CI|"
Encrypted: IssS|CI|NTOEHK5Q9l7Sn89xEA67+wo=

Impacto

Um invasor com acesso local a um valor de senha criptografada produzido por lsrunase 2.0 ou lsencrypt 2.0 pode recuperar a senha em texto puro offline.

Dependendo de como as ferramentas são implantadas, as credenciais recuperadas podem permitir:

• Escalação de privilégios através do uso de credenciais administrativas armazenadas.
• Movimentação lateral para sistemas onde a conta recuperada é válida.
• Reutilização de credenciais recuperadas contra outros serviços.
• Descriptografia retroativa de strings de senha criptografadas capturadas ou armazenadas em backup anteriormente.

Causa Raiz

O problema é causado por vários problemas de design criptográfico no esquema de proteção de senha:

• RC4 é usado para criptografia.
• O material efetivo da chave secreta está embutido nos binários.
• O prefixo aleatório é armazenado em texto claro junto com o texto cifrado.
• SHA-1 é usado como uma etapa de derivação de chave de passagem única.
• Não há segredo por instalação ou por usuário.
• As senhas são armazenadas em uma forma reversível.

Categorias de fraqueza relevantes incluem:

• CWE-321: Uso de Chave Criptográfica Fixa (Hard-coded)
• CWE-326: Força de Criptografia Inadequada
• CWE-327: Uso de Algoritmo Criptográfico Quebrado ou Arriscado

Cronograma de Divulgação

Referências

• Registro CVE, aguardando publicação pública: https://www.cve.org/CVERecord?id=CVE-2026-39031
• Registro NVD, aguardando publicação pública: https://nvd.nist.gov/vuln/detail/CVE-2026-39031
• CWE-321: https://cwe.mitre.org/data/definitions/321.html
• CWE-326: https://cwe.mitre.org/data/definitions/326.html
• CWE-327: https://cwe.mitre.org/data/definitions/327.html
• RFC 7465, "Proibindo Suites de Cifras RC4": https://datatracker.ietf.org/doc/html/rfc7465
• Registro antigo e distinto CVE-2007-6340: https://nvd.nist.gov/vuln/detail/CVE-2007-6340