CVE-2021-20124

Path traversal não autenticado no endpoint WebServlet do DrayTek VigorConnect 1.6.0-B3 (também referenciado como 1.60.0-B3), permitindo leitura arbitrária de arquivos do sistema operacional subjacente com privilégios de root. Está no catálogo KEV da CISA desde setembro de 2024, confirmando exploração ativa, apesar de o CVSS 7.5 refletir só impacto de confidencialidade (sem escrita nem indisponibilidade).

A falha (CWE-22, path traversal) está na funcionalidade de download de arquivos do endpoint WebServlet, acessado em /ACSServer/WebServlet. O parâmetro 'filename', usado pela ação act=getMapImg_acs2 (originalmente pensada para servir imagens de mapa), não sanitiza sequências '../' antes de montar o caminho do arquivo a ser lido no sistema de arquivos.

Como o processo do VigorConnect que atende a requisição roda com privilégios de root, o atacante consegue ler qualquer arquivo legível pelo processo, não só arquivos dentro do diretório de aplicação. O parâmetro é o único controle do atacante: basta manipular o valor de 'filename' com travessias suficientes ('../') para alcançar a raiz do sistema de arquivos e apontar para o arquivo desejado.

A mesma classe de falha existe em endpoint irmão, DownloadFileServlet (CVE-2021-20123), documentada pela mesma pesquisa da Tenable — os dois compartilham a causa raiz de falta de validação de caminho em funcionalidades de manipulação de arquivo do VigorConnect.

Exploração é uma única requisição HTTP GET, sem autenticação, contra a porta de gerência HTTPS (4433 nos testes documentados), do tipo /ACSServer/WebServlet?act=getMapImg_acs2&filename=../../../../../../../etc/passwd (ou caminho equivalente para win.ini em ambientes Windows). Não há pré-condição de configuração não padrão, sessão válida ou interação do usuário — condizente com o vetor CVSS AV:N/AC:L/PR:N/UI:N.

O resultado é leitura de arquivo arbitrário: /etc/passwd é a prova de conceito publicada, mas o mesmo mecanismo alcança arquivos de configuração da aplicação, chaves privadas ou credenciais armazenadas no host, dependendo do que está acessível ao processo. Isso por si não gera execução de código, mas serve de reconhecimento e, combinado com falhas correlatas do mesmo advisory (como o upload arbitrário CVE-2021-20125, CVSS 9.8), pode viabilizar comprometimento total do dispositivo.

A inclusão no catálogo KEV da CISA em setembro de 2024 confirma exploração em ambiente real, mas as fontes consultadas não detalham a campanha, o ator ou o volume de exploração — apenas que ela ocorreu.

O fornecedor publicou advisory cobrindo esta e outras CVEs da mesma família (CVE-2021-20123 a CVE-2021-20129) no site da DrayTek, mas as fontes revisadas não confirmam o número exato da versão corrigida — não informe uma versão de patch sem verificar diretamente no advisory do fornecedor antes de fechar o ticket de remediação.

A CISA determinou como ação: aplicar as mitigações do fornecedor ou descontinuar o uso do produto se não houver mitigação disponível, com prazo (due date) de 24/09/2024 para órgãos federais dos EUA sob a diretiva BOD 22-01 — um sinal de severidade que vale para qualquer operador do produto, não só agências americanas.

Como controle compensatório, se a atualização não for possível de imediato: restringir o acesso à interface de gerência (porta usada pelo ACSServer, tipicamente 4433) a redes de gerência confiáveis ou VPN, removendo exposição direta à internet. Regra de WAF bloqueando sequências '../' e variantes codificadas no parâmetro filename do WebServlet reduz risco, mas é mitigação parcial — não substitui a correção porque técnicas de encoding e normalização de path podem contornar filtros ingênuos.

Nos logs de acesso do VigorConnect/ACSServer, procure requisições a /ACSServer/WebServlet com o parâmetro act=getMapImg_acs2 cujo valor de filename contenha sequências '../' (ou variantes codificadas em URL, como %2e%2e%2f) apontando para fora do diretório esperado de imagens. Vale correlacionar com tentativas similares no endpoint irmão DownloadFileServlet (parâmetro show_file_name), já que ambos compartilham a mesma classe de falha e frequentemente são testados em conjunto por scanners e atacantes.

Não há assinatura de exploração exclusiva documentada nas fontes consultadas além do padrão genérico de travessia de diretório — a existência de template Nuclei público para a CVE sugere que varreduras automatizadas contra esse endpoint são o vetor mais provável de detecção em massa, mais do que exploração manual direcionada.