Cisco HyperFlex HX Command Injection Vulnerabilities

Falha de command injection na interface web de administração do Cisco HyperFlex HX Data Platform, que permite a um atacante remoto e não autenticado executar comandos arbitrários no sistema operacional subjacente como usuário tomcat8. Está no catálogo KEV da CISA com exploração ativa confirmada desde novembro de 2021, mas o próprio advisory da Cisco classifica seu impacto como High (CVSS 7.3, C:L/I:L/A:L) e não Critical — o 9.8 associado a esta CVE em algumas bases parece herdado da CVE-2021-1497 (vulnerabilidade irmã, publicada no mesmo advisory), que sim é Critical e permite execução como root.

A causa é CWE-78 (neutralização insuficiente de elementos especiais usados em comando do SO): a interface web do HyperFlex HX Data Platform aceita entrada do usuário e a passa para uma chamada de sistema ou shell sem sanitização adequada, permitindo que um atacante injete comandos arbitrários através de uma requisição HTTP manipulada. A Cisco não detalhou publicamente qual endpoint ou parâmetro específico é vulnerável — apenas que a exploração ocorre via 'requisição elaborada à interface web de administração'.

O advisory da Cisco trata CVE-2021-1498 e CVE-2021-1497 como vulnerabilidades independentes, cada uma explorável isoladamente, publicadas no mesmo boletim (cisco-sa-hyperflex-rce-TjjNrkpR) porque afetam componentes distintos do mesmo produto. CVE-2021-1497 atinge o HyperFlex HX Installer Virtual Machine e resulta em execução como root (CVSS 9.8); CVE-2021-1498 atinge o HyperFlex HX Data Platform propriamente dito e resulta em execução como o usuário de serviço tomcat8 (CVSS 7.3, base score do próprio fornecedor). Essa distinção é relevante porque a listagem do CISA KEV mistura a descrição de ambas ao referenciar 'HyperFlex HX Installer Virtual Machine' no texto associado ao CVE-2021-1498 — há inconsistência editorial entre fontes que o leitor deve ter em mente ao avaliar o impacto real.

Como o atacante executa como tomcat8 e não como root, o impacto imediato tende a ser limitado pelos privilégios desse usuário de serviço — ainda assim suficiente para leitura/manipulação de arquivos da aplicação, pivoteamento lateral e, dependendo da configuração do host, escalada adicional.

O vetor é rede (AV:N), sem necessidade de autenticação (PR:N) e sem interação do usuário (UI:N), com baixa complexidade de ataque (AC:L) — condições que tornam a exploração acessível a qualquer atacante com acesso de rede à interface de gerenciamento web do HyperFlex. Não há pré-condição de configuração não padrão documentada pela Cisco: se a interface está exposta e a versão é vulnerável, o ataque é direto.

Existe exploração confirmada em ambiente real: a Cisco PSIRT relatou em novembro de 2021 ter identificado tentativas adicionais de exploração in the wild, o que motivou a inclusão no catálogo KEV da CISA (adicionado em 2021-11-03, prazo de correção 2021-11-17). Há módulo Metasploit, template Nuclei e PoC pública disponíveis, o que reduz significativamente a barreira técnica para exploração em massa — scanners automatizados e ferramentas de red team já cobrem essa CVE.

O resultado de uma exploração bem-sucedida é execução de comando arbitrário no contexto do usuário tomcat8 no host afetado. Dado que HyperFlex é infraestrutura hiperconvergente (compute + storage), um comprometimento desse componente tem potencial de impacto amplo sobre workloads hospedados, mesmo que o acesso inicial não seja como root.

A Cisco não oferece nenhum workaround — o advisory afirma explicitamente 'There are no workarounds that address these vulnerabilities'. A única mitigação real é atualizar. Para versões anteriores à linha 4.0, a Cisco recomenda migrar diretamente para 4.0(2e). Para quem está na linha 4.0, o fix é a própria 4.0(2e); para quem está na linha 4.5, o fix é 4.5(2a).

Como não há paliativo de configuração, o único controle compensatório possível — fora da atualização — é restringir o acesso de rede à interface de gerenciamento web do HyperFlex (segmentação, ACL, VPN de administração), reduzindo a superfície de exposição enquanto a atualização não é aplicada. Isso não corrige a falha, apenas diminui a chance de exploração oportunista por scanners externos; não reduz o risco de um atacante já dentro da rede de gerenciamento.

Dado o status de exploração ativa confirmada e presença no KEV, o prazo de correção não é discricionário para quem opera sob diretrizes CISA — a due date original foi 2021-11-17. Não existe mito de 'atualizar componente X é suficiente' documentado nas fontes; a atualização de firmware/software do HyperFlex para a versão fixa é o único remédio validado pelo fornecedor.

As fontes disponíveis não detalham assinaturas de log, padrões de requisição ou indicadores de comprometimento específicos para esta CVE — a Cisco apenas confirmou ter observado 'tentativas adicionais de exploração' a partir de novembro de 2021, sem publicar IOCs. Na ausência de indicadores oficiais, a defesa prática é monitorar logs da interface web de administração do HyperFlex por requisições anômalas (parâmetros com metacaracteres de shell, payloads incomuns) e processos inesperados sendo executados pelo usuário tomcat8 no host, mas isso exige instrumentação própria — não há assinatura pública validada pelo fornecedor.