CVE-2021-22506

Falha de exposição de informação no Access Manager da Micro Focus, ligada ao fluxo SAML do Service Provider quando a Assertion Consumer Service (ACS) URL é manipulada. Está no catálogo KEV da CISA com exploração confirmada, o que eleva a prioridade prática mesmo com um CVSS 'apenas' alto (7.5) e sem impacto declarado em integridade ou disponibilidade.

O fornecedor descreve a falha como um problema de 'advance configuration exposing information leakage' no Access Manager, associado a um redirecionamento indevido no papel de Service Provider (SP) SAML quando a Assertion Consumer Service URL é usada. Em termos de CWE, isso mapeia para exposição de informação sensível (CWE-200), com um componente de manipulação de redirecionamento (padrão CWE-601) explorado durante o fluxo de autenticação SAML.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) indica que a falha é explorável remotamente, sem autenticação, sem interação do usuário, com complexidade baixa, e o impacto é exclusivamente em confidencialidade — nenhum impacto em integridade ou disponibilidade é reconhecido pelo fornecedor. Isso é consistente com um cenário onde o atacante controla ou influencia o parâmetro de ACS URL na requisição SAML e, por uma validação insuficiente desse parâmetro no lado do SP, consegue fazer o serviço vazar dados (tipicamente tokens, atributos de sessão ou informações de configuração) para um destino não autorizado.

As fontes disponíveis não detalham o código-fonte, a rota HTTP exata ou o formato do parâmetro vulnerável — o advisory da Micro Focus e a nota da CISA no KEV usam a mesma descrição resumida. Não há writeup técnico público detalhado nas fontes consultadas que explique passo a passo o parsing da ACS URL ou o componente interno (Tomcat/IDP/Identity Server) responsável pela falha.

O vetor de ataque é a interação com o fluxo de autenticação SAML do Access Manager atuando como Service Provider. O atacante não precisa de credenciais nem de interação do usuário-alvo (UI:N, PR:N) — a rota de exploração parece residir na própria mensagem/requisição SAML que chega ao SP, especificamente na forma como a Assertion Consumer Service URL é processada e usada para redirecionamento. Isso sugere que o pré-requisito real é ter acesso de rede ao endpoint do Access Manager exposto (geralmente publicado na internet, já que é um IAM/SSO gateway) — não exige acesso autenticado ou configuração fora do padrão além do uso normal do recurso SAML SP.

A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV (adicionada em 2021-11-03, prazo de correção 2021-11-17), mas a nota da CISA não detalha campanha, atores ou volume de exploração — apenas classifica como 'Known Exploited' com status 'Unknown' para uso em ransomware. Não há, nas fontes lidas, PoC técnico público ou análise de terceiros que descreva o payload exato.

O resultado da exploração, segundo o vetor CVSS e a descrição, é vazamento de informação — sem indicação de escrita/modificação de dados nem de negação de serviço. Dado que Access Manager funciona como gateway de SSO/autenticação, o dado vazado pode ter valor alto (tokens de sessão, atributos de usuário, dados de configuração interna), mesmo que o CVSS não reflita isso diretamente.

A correção definitiva é atualizar para o Access Manager 5.0, que o próprio fornecedor lista como a versão que resolve o problema — a documentação de release notes do 5.0 inclui uma seção específica de 'Security Vulnerability Fixes'. As fontes disponíveis não especificam se existem patches ou hotfixes para ramos anteriores (4.x, 4.5.x etc.) fora da atualização completa para 5.0 — se sua organização não pode migrar imediatamente, isso é uma lacuna de informação real, não um paliativo confirmado.

Como controle compensatório, avalie restringir/validar o parâmetro de Assertion Consumer Service URL na camada de proxy reverso ou WAF em frente ao Access Manager, bloqueando valores de ACS que não correspondam à lista de URLs de retorno esperadas para os SPs confiáveis — isso reduz a superfície de manipulação do redirecionamento, mas não é uma correção do fornecedor e não elimina a causa raiz no código.

Não trate isolamento de rede genérico como mitigação suficiente se o Access Manager estiver exposto para autenticação externa — o vetor é de rede (AV:N) e não exige autenticação, então qualquer exposição do endpoint SAML SP à internet mantém o risco enquanto a versão não for corrigida. A CISA determinou prazo de correção de 14 dias (2021-11-03 a 2021-11-17) para agências federais dos EUA sob a diretriz BOD 22-01, um sinal de que o fornecedor e o governo consideram a atualização urgente, não opcional.

Não há, nas fontes consultadas, indicador de comprometimento (IOC), assinatura de tráfego ou padrão de log publicado oficialmente para esta CVE. Como o vetor envolve manipulação da Assertion Consumer Service URL no fluxo SAML, um ponto de partida razoável para monitoramento é auditar logs do Identity Server/Access Gateway em busca de requisições SAML com valores de ACS URL fora do conjunto de URLs de retorno registradas para os Service Providers configurados — mas isso não é uma assinatura confirmada por pesquisa pública, apenas inferência a partir da descrição do mecanismo.