XBOW relata RCE crítica sem autenticação em aplicação do EAC
A XBOW afirma ter identificado uma falha de execução remota de código (RCE), crítica e sem exigir autenticação, em uma aplicação web pública da U.S. Election Assistance Commission (EAC). Segundo a XBOW, a aplicação era uma calculadora de recursos e logística, sem relação com urnas eletrônicas ou registro de eleitores. As fontes não informam CVE, correção nem sinais de exploração; falta a confirmação do EAC.
O que aconteceu
A empresa de segurança XBOW afirma ter identificado uma falha de execução remota de código, de gravidade crítica e sem exigir autenticação, em uma aplicação web pública da U.S. Election Assistance Commission (EAC), comissão federal americana focada em administração eleitoral. Segundo a XBOW, a aplicação afetada era uma calculadora de recursos e logística. A EAC não confirmou o caso nas fontes.
Por que importa
Se confirmada, a falha permitiria executar código no servidor da aplicação sem nenhum login, conforme a descrição da XBOW. Segundo a XBOW, o sistema afetado era uma calculadora, sem relação com urnas eletrônicas ou registro de eleitores. As fontes não trazem correção nem sinais de exploração.
O que fazer
Acompanhar os canais oficiais do EAC e da XBOW em busca de confirmação, CVE e correção. Se a empresa mantém ferramentas web públicas sem login, revisar esses sistemas quanto a execução remota de código.
Para o time técnico
- Afetados
- U.S. Election Assistance Commission (EAC) Aplicação web pública da Election Assistance Commission; calculadora de recursos e logística, sem relação com urnas eletrônicas ou registro de eleitores · Aplicação web pública da U.S. Election Assistance Commission, descrita pela XBOW como uma calculadora de recursos e logística. Versões não informadas. Segundo a XBOW, não envolve urna eletrônica nem sistema de registro de eleitores.
- Exploração
- Nenhum sinal de exploração relatado nas fontes. Sem CVE, sem entrada no KEV e sem PoC citada.
- Correção
- Não informado nas fontes. A EAC precisa confirmar a falha e corrigir a aplicação.
- Vetor
- Aplicação web pública da EAC, exposta na internet. Falha de execução remota de código (RCE) sem exigir autenticação, de gravidade crítica, segundo a XBOW. Componente específico e demais condições de exploração não foram divulgados.
- Mais detalhes
- Descoberta atribuída à XBOW e divulgada em thread no X. A EAC é descrita como comissão federal independente e bipartidária focada em administração eleitoral. A XBOW esclareceu que a aplicação vulnerável era uma calculadora de recursos e logística.
Linha do tempo
XBOW esclarece que a aplicação vulnerável era uma calculadora de recursos e logística, e não urna eletrônica nem sistema de registro de eleitores.
Pesquisa da XBOW, divulgada em thread no X, detalha a falha encontrada na aplicação do EAC.
