CVE-2023-33538

Falha de injeção de comandos (CWE-77) no componente web /userRpm/WlanNetworkRpm de roteadores TP-Link TL-WR940N (V2/V4), TL-WR841N (V8/V10) e TL-WR740N (V1/V2), todos modelos em fim de vida (EoL). Um usuário autenticado no painel de administração pode injetar comandos de sistema através de um campo de configuração de rede wireless, obtendo execução arbitrária com privilégios do processo web (tipicamente root/admin no firmware embarcado). A CISA incluiu a falha no catálogo KEV em junho de 2025, confirmando exploração ativa apesar de a CVE ser de 2023 e os dispositivos não receberem mais patches.

A vulnerabilidade reside no handler /userRpm/WlanNetworkRpm, endpoint da interface web de administração responsável por processar parâmetros de configuração da rede sem fio (como SSID e campos relacionados). O firmware desses modelos roda um servidor web embarcado (arquitetura típica boa/httpd do SDK TP-Link) que repassa valores de formulário diretamente para chamadas de sistema (system()/popen() ou scripts shell internos) sem sanitização adequada de metacaracteres de shell — o padrão clássico de CWE-77 (Command Injection).

Como o CVSS vetor indica PR:L (privilege required: low), a exploração exige autenticação prévia na interface administrativa do roteador — não é uma falha pré-autenticação. Isso reduz a superfície de ataque a cenários onde o atacante já tem credenciais (padrão de fábrica, credenciais fracas, ou acesso obtido por outra falha) e acesso à rede local ou à interface de administração exposta.

Não há detalhes públicos completos e verificados sobre qual campo exato do formulário WlanNetworkRpm é o vetor injetável nem qual comando específico é encadeado — os writeups públicos (incluindo o PoC no GitHub referenciado) descrevem a técnica de injeção via esse endpoint, mas o mecanismo preciso não foi extraído de fontes que pudéssemos verificar aqui com segurança suficiente para reproduzir. O que está bem estabelecido: o resultado final é execução de comandos arbitrários no sistema operacional subjacente ao firmware.

Vetor: interface web de administração do roteador, alcançável na LAN e, se a administração remota/WAN estiver habilitada (não é o padrão de fábrica na maioria dos casos, mas ocorre em configurações alteradas ou em dispositivos expostos por erro), também pela internet. Pré-requisito real: sessão autenticada como usuário administrador — a exploração não contorna login, ela abusa de um campo confiável demais depois de autenticado.

Complexidade de exploração é baixa (AC:L) uma vez que o atacante tem acesso autenticado: não há necessidade de interação do usuário (UI:N) e o impacto é total sobre confidencialidade, integridade e disponibilidade (C:H/I:H/A:H), porque comandos de sistema em roteadores embarcados costumam correr com privilégios totais do dispositivo. O resultado prático é controle completo do roteador: alteração de DNS, interceptação de tráfego, pivotagem para a rede interna, ou recrutamento do dispositivo para botnets/DDoS.

A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV em junho de 2025, dois anos após a publicação original — típico de vulnerabilidades IoT EoL que permanecem exploráveis indefinidamente por falta de patch. Não há evidência pública firme de uma campanha específica atribuída (a menção a FrostyGoop/Unit42 é especulativa, baseada em coincidência de IP, e o próprio fornecedor da análise reconhece falta de ligação direta comprovada).

Não existe patch do fornecedor: os três modelos afetados são EoL/EoS segundo a própria TP-Link e a CISA, e não devem receber mais atualizações de firmware. A recomendação primária de ambas as fontes (TP-Link e CISA) é descontinuar o uso desses dispositivos e substituí-los por hardware com suporte ativo.

Se a substituição não for imediata, mitigações compensatórias reais: desabilitar acesso remoto/administração via WAN (reduz a exposição a rede local); trocar a senha padrão de administração e restringir quem tem acesso à interface web; segmentar o roteador em uma VLAN isolada, sem confiar nele para proteger ativos sensíveis; monitorar tráfego de gerenciamento para comportamento anômalo. Nenhuma dessas medidas remove a vulnerabilidade — apenas reduz a chance de um atacante chegar à interface autenticada necessária para explorá-la.

O que não funciona: acreditar que exigir autenticação (PR:L) torna o risco baixo é um erro comum — credenciais padrão ou reaproveitadas em roteadores domésticos são triviais de obter, e o CVSS 8.8 reflete corretamente o impacto quando essa barreira cai. Da mesma forma, WAF ou proxy reverso na frente de um roteador doméstico não é um controle realista nesse contexto de uso.

Não há assinatura ou indicador de comprometimento publicamente confirmado e específico para esta CVE. Como sinal geral, revisar logs de acesso à interface administrativa web do roteador (quando o dispositivo registra) buscando requisições ao endpoint /userRpm/WlanNetworkRpm com payloads contendo metacaracteres de shell (`;`, `|`, `` ` ``, `$()`) nos campos de configuração de rede sem fio, e monitorar comportamento anômalo no dispositivo (processos inesperados, alterações de configuração DNS/wireless não realizadas por administradores, tráfego de saída incomum indicando participação em botnet).