Progress LoadMaster CVE-2026-8037: RCE senza autenticazione

La vulnerabilità

Progress LoadMaster è un load balancer enterprise usato da migliaia di organizzazioni per gestire il traffico di rete verso server e applicazioni critiche. A agosto 2026, è stata scoperta una vulnerabilità critica di command injection che consente a un attaccante di eseguire codice arbitrario come root senza autenticazione.

CVE Identifier: CVE-2026-8037
CVSS Score: 9.6 (Criticità massima)
CWE: CWE-77 (Command Injection)

Il difetto: Improper Input Validation

Descrizione tecnica: La vulnerabilità esiste nella funzione _escape_quotes() del modulo API di LoadMaster. Questa funzione dovrebbe “sanitizzare” i dati di input rimuovendo caratteri potenzialmente pericolosi (come single quote, double quote, backslash).

Il problema: La funzione non gestisce adeguatamente l’input, creando un buffer heap non inizializzato. Quando questo buffer viene utilizzato per eseguire un comando di sistema, i caratteri speciali non vengono sanitizzati correttamente, consentendo l’injection di comandi shell.

Flusso di exploit:

Attaccante → POST /api/accessv2?apiuser=[payload]
             ↓
LoadMaster riceve il payload
             ↓
_escape_quotes() non sanitizza il payload
             ↓
Payload viene passato a exec()
             ↓
Comandi shell nell'payload vengono eseguiti come root

Esempio di exploit reale

curl -X POST http://target-loadmaster:8443/api/accessv2 \
  -H "Content-Type: application/x-www-form-urlencoded" \
  --data "apiuser=admin; rm -rf /data&password=anything"

Questo payload:

1. Specifica un apiuser “admin”
2. Inietta un comando shell: ; termina il primo comando, rm -rf /data lo esegue
3. No password richiesta: la vulnerabilità bypassa completamente l’autenticazione

LoadMaster interpreterà questo come:

update_account("admin; rm -rf /data", "anything")
→ exec("update_account admin; rm -rf /data")
→ Esegue sia "update_account admin" che "rm -rf /data" come root

Prodotti e versioni vulnerabili

La vulnerabilità affligge:

Se stai usando LoadMaster versione 7.2.63 o precedente, sei vulnerabile.

Sfruttamento attivo

Timeline di sfruttamento:

La finestra di esposizione è stata lunga, da giugno a agosto, 2+ mesi. Molte organizzazioni non sanno ancora di essere vulnerabili.

Impatto: Load Balancer compromesso = Rete compromessa

Un attaccante che ha RCE su LoadMaster può:

1. Intercettare tutto il traffico che passa attraverso il load balancer
2. Modificare le risposte (man-in-the-middle passivo → attivo)
3. Reindirizzare il traffico verso server controllato dall’attaccante
4. Installare backdoor persistente
5. Accedere ai dati di tutte le richieste HTTP/HTTPS (se TLS termination è fatto su LoadMaster)

Esempio:

Utente → [richiesta HTTPS] → LoadMaster compromesso
         ↑                   ↓ (intercetta, modifica, reindirizza)
         ← [risposta malevola con malware]

Difesa e mitigazione

Immediato (ore):

1. Identifica tutti gli istanti LoadMaster in uso
2. Versione di controllo: verifica se sei su 7.2.63.1 o precedente
3. Disconnetti da internet: se LoadMaster è web-accessible, restringi l’accesso

Breve termine (giorni):

1. Upgrade LoadMaster alla versione patched (7.2.64 o superiore)
2. Reboot del sistema: il patch richiede reboot
3. Verifica i log: controlla se ci sono stati accessi API anomali dalla data della disclosure

Lungo termine:

1. Segmentazione di rete: LoadMaster dovrebbe essere in una DMZ isolata
2. WAF (Web Application Firewall) davanti a LoadMaster per filtrare payload di command injection
3. Monitoring continuo: gli accessi API dovrebbero essere monitorati e alertati in real-time

Conclusione

CVE-2026-8037 è un classico command injection in input validation mancante. Il fatto che uno load balancer (un componente network critico), abbia un’API unauthenticated con questo difetto è preoccupante.

Per le organizzazioni che utilizzano Progress LoadMaster: questo non è un patch opzionale. È una vulnerabilità che ti espone completamente. La finestra di exploitation è stata lunga, e il numero di scanning/attacchi è in aumento. L’upgrade è urgente.