Mon, 07 Sep 2026
← VoltarA cadeia de exploração TantoSec permite RCE não autenticado por meio do oráculo de preenchimento AES-CBC na Telerik UI para ASP.NET AJAX sob configuração específica.
Uma prova de conceito TantoSec transforma um "oráculo de preenchimento" AES-CBC na Telerik UI para ASP.NET AJAX em execução remota de código não autenticado - mas apenas contra aplicativos em uma configuração específica não padrão, e a Progress corrigiu a cadeia em julho. Não há relatos confirmados de exploração na natureza. A empresa de segurança TantoSec publicou uma cadeia de exploração funcional visando vulnerabilidades no Telerik UI para ASP.NET AJAX que pode permitir que um invasor não autenticado execute código remoto no servidor que hospeda um aplicativo vulnerável. A Progress Software corrigiu as falhas em julho, e a exploração requer uma configuração não padrão – mas o lançamento combina um artigo detalhado com uma ferramenta pronta para execução e duas cargas úteis, colocando um caminho de ataque completo em mãos públicas pela primeira vez.
As falhas subjacentes não são novas. A Progress enviou a correção na versão 2026.2.708 (2026 Q2 SP1) em 8 de julho e publicou os CVEs e o comunicado em 22 de julho. O que mudou em 7 de setembro foi a divulgação do método e das ferramentas: Marcio Almeida, da TantoSec, percorreu toda a cadeia e lançou uma ferramenta de linha de comando, telerik-rau-exploit, junto com duas cargas úteis de DLL de modo misto - uma que grava um web shell no disco e outra que roda inteiramente na memória. A cadeia afeta o controle de upload de arquivo RadAsyncUpload nas versões 2010.1.309 a 2026.2.519, de acordo com o comunicado da Progress; 2026.2.708 e posteriores foram corrigidos.
O mais sério dos bugs, uma falha de resolução de tipo desprotegida rastreada como CVE-2026-13181, carrega uma pontuação CVSS de 8,1 (“alta”); sua classificação de complexidade de ataque “alta” reflete os pré-requisitos de configuração descritos abaixo, em vez de qualquer dificuldade de exploração, uma vez atendidos. Executar uma versão afetada não é suficiente para ser explorável. TantoSec diz que a cadeia tem “pré-condições que não são atendidas por uma instalação padrão”: uma página deve renderizar um controle RadAsyncUpload cujo manipulador do lado do servidor lê o resultado do upload, e o aplicativo deve ser configurado com uma chave de criptografia explícita e não padrão para o controle – que, em uma reviravolta, é uma configuração que Telerik recomenda como proteção. Os sites em uma versão afetada sem ambas as condições não podem ser explorados por meio desta cadeia.
Onde essas condições forem válidas, a recompensa será a execução do código com os privilégios do pool de aplicativos do IIS. O ponto de entrada é um oráculo de preenchimento (CVE-2026-13182): como o controle criptografa seu estado do lado do cliente com AES-CBC e sem verificação de integridade, o servidor responde de maneira diferente aos dados adulterados, dependendo se os bytes descriptografados possuem preenchimento válido ou simplesmente não conseguem analisar como JSON. Essa diferença permite que um invasor descriptografe – e, com uma técnica TantoSec construída em torno da semente de criptografia fixa do controle, forje – a configuração de upload criptografada sem nunca conhecer a chave. A mesma falsificação permite que o invasor nomeie um tipo .NET arbitrário, que o controle resolve sem uma lista de permissões (CVE-2026-13181) e desserializa em um gadget que carrega uma DLL de um local controlado pelo invasor.
A DLL carregada é um assembly de modo misto que executa o código nativo assim que é carregado. Não é instantâneo: a execução ponta a ponta do TantoSec exigiu cerca de 127.000 solicitações oracle – cerca de uma hora em relação a um alvo de laboratório e mais tempo em relação a um servidor com taxa limitada. Se o aplicativo ocultar mensagens de erro detalhadas, o oráculo ainda poderá ser lido por meio do tempo de resposta, uma variante rastreada como CVE-2026-13183. Não há relatos confirmados de falhas de 2026 sendo exploradas em estado selvagem, e nenhum aparece no catálogo de vulnerabilidades exploradas conhecidas da CISA em 7 de setembro.
Um fornecedor de gerenciamento de superfície de ataque, IONIX, afirma em seu site que está “rastreando tentativas de exploração em andamento”, mas não fornece datas, volumes ou outros detalhes, e não distingue a exploração da varredura comum do manipulador na Internet. O componente em si tem um longo histórico de ataques no mundo real – mas por meio de bugs mais antigos, não desses. Uma falha de desserialização de 2019 no mesmo manipulador, CVE-2019-18935, foi encadeada com uma fraqueza de criptografia de 2017 e explorada por equipes de ransomware e atores do estado-nação, inclusive em uma violação de uma agência federal dos EUA em 2022, e ainda estava sendo explorada em 2025. Esse histórico é o motivo pelo qual um caminho de execução de código não autenticado neste manipulador chama a atenção, embora os novos bugs não tenham exploração confirmada.
Dois outros pontos limitam a história. O boletim de julho da Progress, na verdade, cobre duas cadeias de ataque separadas: a cadeia RadAsyncUpload TantoSec detalhada e uma cadeia distinta de execução remota de código nos componentes RadPersistenceManager e RadDockLayout (CVE-2026-13185, -13186 e -13190), creditada a Markus Wulftange e Progress da CODE WHITE, para a qual nenhuma exploração pública foi lançada. E dentro da cadeia RadAsyncUpload, um quarto bug envolvendo uma chave padrão previsível (CVE-2026-13184) se aplica apenas a um modo de ataque alternativo que a demonstração lançada não usou. Atualize para Telerik UI para ASP.NET AJAX 2026.2.708 (2026 Q2 SP1) ou posterior, que substitui o esquema AES-CBC falho por criptografia autenticada e fecha toda a cadeia.
Progress chama a atualização de sua única recomendação oficial e alerta que uma chave personalizada mais forte não ajuda, porque o oráculo nunca precisa da chave. Para sites que não podem atualizar imediatamente, o Progress aponta para várias etapas intermediárias: como o Progress avisa que a exploração bem-sucedida "não deixa rastros óbvios nos logs de erros padrão do ASP.NET", os defensores devem procurar comportamentalmente em vez de assinaturas de erro: o processo de trabalho do IIS (w3wp.exe) gerando cmd.exe, um arquivo .aspx novo ou inesperado na raiz da web ou uma DLL de modo misto escrita na pasta temporária do controle de upload ou App_Data. TantoSec relatou os problemas ao Progress em 22 de maio; a correção foi enviada em 8 de julho, e os CVEs foram lançados em 22 de julho. Almeida deu crédito ao colega Justin Steven pela variante do oráculo de tempo.
Veja como testar novos CVEs em seu ambiente, confirmar o que os invasores podem realmente explorar e corrigir as exposições que representam o maior risco. Aprenda como identificar riscos exploráveis com mais rapidez, priorizar o que é mais importante e reduzir a exposição antes que ataques alimentados por IA acelerem a ameaça. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.