CVE-2021-42237

Falha de deserialização insegura (CWE-502) no Sitecore Experience Platform (XP) que permite execução remota de comando sem autenticação e sem configuração especial. Está no catálogo KEV da CISA com confirmação de exploração ativa, tem módulo Metasploit e PoC pública — é uma das RCEs pré-autenticadas mais graves já reportadas para Sitecore, e o CVSS 9.8 reflete corretamente o risco real, sem ressalvas de pré-condição.

A vulnerabilidade é uma deserialização insegura de dados fornecidos pelo atacante (CWE-502) em um componente do Sitecore XP acessível via HTTP sem exigir sessão autenticada. O padrão clássico desse tipo de falha em aplicações .NET: um endpoint aceita um blob serializado (tipicamente via BinaryFormatter ou mecanismo equivalente do .NET Framework) sem validar o tipo antes de reidratar o objeto, permitindo que um atacante construa uma cadeia de gadgets (gadget chain) que, ao ser desserializada, dispara execução arbitrária de código no contexto do processo do IIS (w3wp.exe).

A descrição oficial do fornecedor confirma que nem autenticação nem configuração não padrão são necessárias — ou seja, qualquer instalação padrão de Sitecore XP na faixa de versões afetada é explorável diretamente pela rede. Isso é o dado mais crítico da página: não há cenário de 'ambiente mal configurado' para justificar a exposição, o componente vulnerável faz parte da instalação base.

A análise técnica detalhada do fluxo de código exato (qual handler, qual classe recebe o payload serializado) foi publicada pela Assetnote em blog dedicado; o conteúdo integral desse writeup não pôde ser extraído nesta pesquisa além do título ('Sitecore Experience Platform Pre-Auth RCE'), então evitamos reproduzir detalhes de endpoint ou classe que não conseguimos confirmar diretamente na fonte. Recomenda-se consultar o writeup original para o trace completo do gadget chain antes de tentar reproduzir ou validar a exploração em laboratório controlado.

O vetor é puramente de rede (AV:N), sem interação do usuário e sem privilégio prévio (PR:N, UI:N) — um atacante não autenticado envia uma requisição HTTP contendo o payload serializado malicioso para o endpoint vulnerável exposto pela instalação padrão do Sitecore XP. A complexidade de ataque é baixa (AC:L): não há necessidade de condições de corrida, timing ou engenharia social.

O resultado, quando bem-sucedido, é execução de código no contexto do processo IIS que hospeda o Sitecore, com impacto total em confidencialidade, integridade e disponibilidade (C:H/I:H/A:H) — controle efetivo do servidor de aplicação, de onde o atacante normalmente escala para o restante da rede interna, exfiltra dados do CMS/CRM (frequentemente com dados de clientes) e planta persistência.

A CISA confirmou exploração ativa em campo (entrada no catálogo KEV, adicionada em 2022-03-25, com prazo de correção definido para 2022-04-15). A existência de módulo Metasploit, template Nuclei e PoC pública reduz a barreira técnica para exploração em massa por scanners automatizados — instâncias expostas à internet sem patch são candidatas a varredura oportunista, não apenas a ataque direcionado.

O fornecedor publicou instruções e hotfixes através do artigo de base de conhecimento KB1000776, cobrindo a faixa de versões afetadas (Sitecore XP 7.5 Initial Release até 8.2 Update-7). O patch deve ser aplicado conforme a versão exata instalada — o Sitecore distribui XP em múltiplos branches menores, e o KB oficial lista o hotfix específico para cada combinação de versão; não há um único número de versão 'corrigida' universal a citar aqui sem risco de imprecisão, então a ação correta é seguir o KB1000776 e identificar o hotfix correspondente à build instalada.

Se a atualização imediata não for viável, a única mitigação real é reduzir a exposição do componente vulnerável — isolar a interface de administração/relatórios do Sitecore de acesso direto pela internet, restringindo por rede (firewall, VPN, allowlist de IP) até que o hotfix seja aplicado. Não existe configuração de aplicação que neutralize deserialização insegura sem o patch do fornecedor; regras de WAF genéricas ajudam a reduzir ruído de scanners automatizados mas não fecham a falha, já que o payload de exploração pode ser ofuscado ou variado.

O KEV da CISA registra a ação exigida como 'Apply updates per vendor instructions' — não há paliativo alternativo endossado pelo fornecedor. Ambientes que não conseguem aplicar o hotfix e não conseguem isolar o acesso devem tratar a instância como comprometida até prova em contrário e priorizar a atualização.

Não há assinatura confiável e pública detalhada nas fontes consultadas para o payload exato de exploração, mas indicadores gerais de exploração de deserialização insegura em servidores IIS/.NET aplicam-se: processos filhos anômalos gerados por w3wp.exe (cmd.exe, powershell.exe, ferramentas de reconhecimento), erros de deserialização ou exceções de tipo inesperado nos logs de aplicação do Sitecore, e requisições HTTP com corpos grandes e binários direcionados a endpoints administrativos/de relatório do Sitecore vindas de IPs não corporativos. A existência de template Nuclei e módulo Metasploit permite reproduzir o tráfego de verificação em ambiente controlado para gerar uma assinatura de referência antes de caçar em produção.