CVE-2021-20023

Falha de path traversal (CWE-22) no SonicWall Email Security 10.0.9.x que permite a um atacante já autenticado, com privilégio elevado, ler arquivos arbitrários no sistema operacional subjacente. Isoladamente o CVSS é baixo (4.9) porque exige autenticação privilegiada, mas a falha ganhou relevância real por ser um dos três elos de uma cadeia de exploração (junto com CVE-2021-20021 e CVE-2021-20022) usada em ataques reais para comprometer totalmente o appliance. Está no catálogo KEV da CISA com exploração confirmada.

A vulnerabilidade é um path traversal clássico: algum componente da interface web/administrativa do SonicWall Email Security aceita um parâmetro que referencia um caminho de arquivo e não sanitiza adequadamente sequências de escape de diretório (ex.: '../'), permitindo que a requisição acesse arquivos fora do diretório restrito da aplicação. O atacante controla o valor desse parâmetro de caminho; o servidor resolve o caminho manipulado e retorna o conteúdo do arquivo solicitado ao invés de rejeitar a requisição.

O vetor CVSS informado (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N) deixa dois pontos centrais: PR:H significa que o atacante precisa de privilégios altos já concedidos na aplicação — não é uma falha explorável por qualquer usuário autenticado comum, e muito menos sem autenticação, isoladamente. O impacto é só de confidencialidade (C:H): leitura de arquivo, sem escrita nem negação de serviço direta por essa CVE específica.

O valor real da falha aparece no contexto da cadeia documentada pela CISA: CVE-2021-20021 permite criar uma conta administrativa sem autenticação prévia, e CVE-2021-20022 permite upload de arquivo arbitrário. Uma vez que o atacante obtém uma conta com privilégio via 20021, a exigência de PR:H desta CVE-2021-20023 deixa de ser uma barreira — ele já tem o privilégio necessário para explorar o traversal e ler arquivos sensíveis (configurações, chaves, credenciais) que ajudam a completar o comprometimento junto com o upload de arquivo malicioso da 20022.

Explorada isoladamente, a CVE-2021-20023 exige que o atacante já possua uma sessão autenticada com privilégio elevado no painel de administração do SonicWall Email Security e envie uma requisição a um endpoint que aceita caminho de arquivo, manipulando esse parâmetro para escapar do diretório esperado e ler arquivo arbitrário no host. Não há necessidade de interação do usuário-vítima (UI:N) e o vetor é de rede (AV:N), mas a pré-condição de privilégio alto restringe bastante quem pode acionar a falha sozinha.

O cenário documentado de exploração ativa não usa a CVE isolada: atacantes encadearam CVE-2021-20021 para criar uma conta administrativa sem qualquer autenticação prévia, depois usaram esse acesso para explorar CVE-2021-20023 (leitura de arquivo) e CVE-2021-20022 (upload de arquivo) e assim alcançar comprometimento completo do appliance, incluindo execução de código. A CISA confirma exploração no mundo real (entrada no KEV) atribuída a esse padrão de encadeamento, sem associar a campanhas de ransomware conhecidas segundo a nota do catálogo.

Em termos práticos, qualquer ambiente com Email Security exposto à internet e vulnerável à CVE-2021-20021 deve tratar as três CVEs (20021, 20022, 20023) como um pacote único de risco: a exigência de privilégio alto desta CVE some no momento em que o atacante consegue criar sua própria conta administrativa via a falha companheira.

A ação recomendada pelo próprio fornecedor e replicada pela CISA é aplicar a atualização/hotfix indicada no advisory oficial SonicWall (SNWLID-2021-0010) para a linha 10.0.9.x do Email Security — tanto na versão on-premise quanto na hospedada, conforme aplicável ao ambiente. As fontes disponíveis não especificam o número exato da build corrigida; é necessário consultar o advisory do fornecedor para confirmar a versão de destino antes de considerar o ambiente corrigido.

Como essa CVE só é explorável de forma independente por uma conta já privilegiada, revisar e restringir contas administrativas do Email Security (remover contas não reconhecidas, forçar rotação de credenciais) reduz o risco enquanto a atualização não é aplicada — mas isso não substitui o patch, porque a cadeia de ataque documentada usa outra falha (CVE-2021-20021) justamente para criar essa conta privilegiada sem autenticação. Restringir a exposição da interface administrativa à internet (colocando-a atrás de VPN ou lista de IPs permitidos) é o controle compensatório mais efetivo enquanto o patch não é aplicado, já que elimina o vetor de rede necessário para a cadeia completa.

Não funciona como mitigação: apenas trocar senhas de contas existentes, sem aplicar o patch, porque não corrige a falha de path traversal em si nem a possibilidade de criação de novas contas administrativas via CVE-2021-20021.

Procurar em logs de acesso da interface web do Email Security por requisições a endpoints que recebem parâmetro de caminho de arquivo contendo sequências de escape de diretório (ex.: '../', variantes codificadas como '%2e%2e%2f'), especialmente originadas de contas cujo histórico de privilégio administrativo não é explicado por processo interno de gestão de acesso. Como o uso documentado desta CVE ocorre em cadeia, o sinal mais confiável não é isolado: correlacionar criação recente e não autorizada de contas administrativas (indício de exploração de CVE-2021-20021) com leituras de arquivo suspeitas e uploads incomuns (CVE-2021-20022) no mesmo período aumenta muito a confiança de que a cadeia completa foi explorada. Não há assinatura única e confiável apenas para o traversal desta CVE isoladamente nas fontes disponíveis.