CVE-2015-0666

Falha de directory traversal no servlet fmserver do Cisco Prime Data Center Network Manager (DCNM), que permite a um atacante remoto e não autenticado ler arquivos arbitrários do sistema operacional subjacente. É um problema clássico de information disclosure (sem escrita, sem execução), mas está no catálogo KEV da CISA porque foi explorada ativamente sete anos depois da divulgação original — evidência de que produtos de gestão de rede antigos seguem expostos e ainda são alvo.

A vulnerabilidade (CWE-22, path traversal) está no servlet fmserver do Cisco Prime DCNM. O componente não valida corretamente o parâmetro de caminho fornecido na requisição, permitindo que sequências como '../' saiam do diretório esperado e apontem para qualquer arquivo do filesystem. Não há indicação de que a falha exija parâmetros específicos de configuração — o vetor é a própria interface HTTP/HTTPS do DCNM, acessível sem autenticação.

O impacto é limitado à confidencialidade: leitura de arquivos arbitrários, sem integridade ou disponibilidade comprometidas (refletido no vetor CVSS 3.1 C:H/I:N/A:N informado). A Cisco destaca uma restrição prática relevante: o conteúdo só é lido se o usuário sob o qual o processo do DCNM roda tiver permissão de leitura sobre o arquivo — o usuário 'System' em instalações Windows, ou 'root' em instalações Linux. Como o DCNM tipicamente roda com privilégios altos nessas plataformas, essa restrição na prática abre acesso a praticamente qualquer arquivo sensível do host, incluindo credenciais e arquivos de configuração.

A falha foi reportada à Cisco por Andrea Micalizzi (rgod), em parceria com a Zero Day Initiative (ZDI) da HP — um canal típico de divulgação coordenada, não de descoberta em campanha maliciosa original.

O ataque é remoto, não exige autenticação nem interação do usuário, e a complexidade é baixa: basta enviar uma requisição HTTP/HTTPS ao servlet fmserver com um pathname malformado contendo sequências de traversal. Não há pré-condição de configuração não padrão conhecida — qualquer instância vulnerável exposta à rede (ou acessível ao atacante) é candidata.

A Cisco não publicou detalhes do payload nem prova de conceito no advisory; a mecânica documentada é apenas 'crafted pathname' via o parâmetro de caminho do servlet. O resultado de uma exploração bem-sucedida é a exfiltração do conteúdo de arquivos legíveis pelo usuário de sistema (System no Windows, root no Linux) — potencialmente arquivos de configuração, chaves, hashes de senha ou logs, dependendo do que estiver acessível a esse usuário.

A Cisco atualizou o advisory em janeiro de 2023 informando que, em março de 2022, o PSIRT tomou conhecimento de tentativas adicionais de exploração in the wild — mais de sete anos após a publicação original. Isso motivou a inclusão no catálogo KEV da CISA em 25/03/2022, com prazo de correção definido para 15/04/2022. Não há detalhes públicos sobre quem conduziu essa exploração recente ou qual foi o objetivo final da campanha.

A correção definitiva é atualizar para Cisco Prime DCNM 7.1(1) ou posterior. A Cisco declara explicitamente que não existem workarounds que mitiguem a vulnerabilidade — não há flag de configuração, ACL de aplicação ou parâmetro que neutralize a falha sem trocar de versão.

Como controle compensatório real, na ausência de atualização, resta restringir o acesso de rede à interface de gerenciamento do DCNM (segmentação, firewall, VPN de administração) para que apenas hosts de gestão confiáveis alcancem o serviço — isso não corrige a falha, apenas reduz a superfície de exposição. Dado que o produto está fora de suporte há anos e a CISA já registrou exploração ativa, qualquer instância remanescente em produção deve ser tratada como prioridade máxima de descomissionamento ou isolamento total de rede.

Não existe mitigação via patch de terceiros ou configuração do próprio DCNM documentada pelo fornecedor; confiar em firewall de aplicação genérico para bloquear traversal é paliativo frágil, já que variações de encoding do path podem contornar filtros simples.

O advisory não descreve assinaturas de log específicas. Em termos gerais, requisições ao servlet fmserver contendo sequências de directory traversal (ex.: padrões repetidos de subida de diretório) no parâmetro de caminho, em logs de acesso HTTP/HTTPS do servidor DCNM, são o indicador mais direto de tentativa de exploração — especialmente requisições apontando para caminhos fora da árvore de instalação do DCNM ou para arquivos de sistema típicos (configurações, arquivos de senha). Como a Cisco confirmou exploração ativa em campanha detectada em 2022, organizações com instâncias antigas expostas devem tratar qualquer acesso anômalo ao fmserver como suspeito, mesmo sem uma assinatura oficial publicada.