CVE-2021-27878

Falha de autenticação (CWE-287) no Backup Exec Agent da Veritas, que roda com privilégios de sistema na máquina protegida. Um defeito no esquema de autenticação SHA usado entre o cliente Backup Exec e o Agent permite a um atacante completar o handshake sem credenciais válidas e, a partir daí, enviar comandos do protocolo de gerenciamento de dados que resultam em execução arbitrária de comando com privilégios de sistema. Importa porque está no catálogo KEV da CISA com exploração confirmada, tem módulo Metasploit e PoC pública — é vetor real usado em campanhas contra ambientes de backup, um alvo de alto valor para ransomware.

O Backup Exec Agent expõe um serviço de rede que negocia autenticação com o cliente antes de aceitar comandos do 'data management protocol' (DMP), a camada que orquestra operações de backup/restore na máquina protegida. Segundo o advisory da Veritas, o esquema de autenticação baseado em SHA usado nesse handshake tem uma falha que permite a um atacante contornar a verificação e ser tratado como um cliente legítimo já autenticado — a descrição oficial não detalha o mecanismo criptográfico exato da quebra, apenas que ela existe e compromete a garantia de autenticação da sessão.

Uma vez 'autenticado' de forma ilegítima, o atacante ganha acesso à mesma superfície de comandos DMP que um cliente confiável usaria em operação normal. O advisory indica que pelo menos um desses comandos permite executar um comando arbitrário no sistema, e esse comando roda com privilégios de sistema porque é assim que o serviço Agent opera por design — ele precisa de privilégios elevados para fazer backup/restore de arquivos protegidos do SO.

A classificação CWE-287 (Improper Authentication) reflete que a raiz do problema não é a validação de input em um comando específico, e sim a quebra da barreira de autenticação em si: qualquer coisa que dependa dessa camada para negar acesso a comandos privilegiados fica exposta uma vez que ela é contornada.

O vetor é de rede, sem necessidade de credenciais válidas nem de interação do usuário (CVSS AV:N, PR:L, UI:N) — o atacante só precisa alcançar a porta do Agent na máquina Backup Exec pela rede. A baixa complexidade de ataque (AC:L) e a existência de módulo Metasploit e PoC pública indicam que a exploração é mecânica e reproduzível, não teórica: o atacante explora a falha no handshake de autenticação SHA para ser aceito pelo Agent, e então envia o comando DMP que dispara execução de comando arbitrário com privilégios de sistema.

O resultado final é execução de código com privilégios de sistema na máquina onde o Agent roda — tipicamente um servidor com acesso amplo a dados de backup de toda a organização, o que explica por que esse tipo de alvo é atrativo para operadores de ransomware que buscam desabilitar ou sequestrar backups antes de criptografar o restante do ambiente. A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV (adicionada em 2023-04-07, prazo de correção 2023-04-28), embora o campo de vinculação a campanhas de ransomware no próprio catálogo não traga confirmação explícita nas fontes consultadas.

Pré-requisito real de exposição: o serviço Agent precisa estar acessível pela rede ao atacante — ambientes onde o Agent só escuta em rede interna segmentada, sem exposição à internet ou a segmentos não confiáveis, reduzem a superfície de ataque prática mesmo que a vulnerabilidade em si permaneça presente até a atualização.

A correção do fornecedor é atualizar para Backup Exec 21.2 ou versão posterior, que resolve a falha no esquema de autenticação SHA entre client e Agent. A ação recomendada pela CISA no KEV é genérica ('apply updates per vendor instructions'), reforçando que atualização é o caminho oficial — não há flag de configuração ou workaround documentado nas fontes consultadas que substitua o patch.

Como controle compensatório enquanto a atualização não é aplicada, restringir o acesso de rede ao Agent (segmentação, firewall, ACL limitando origem apenas aos hosts de gerenciamento Backup Exec legítimos) reduz a exposição, já que a exploração depende de alcançar o serviço pela rede. Isso não corrige a falha de autenticação, apenas limita quem pode tentar explorá-la — não é substituto do patch.

Não há nas fontes consultadas menção a mitigação via WAF, já que o vetor é um protocolo de gerenciamento de dados proprietário e não HTTP; controles de borda de aplicação web não se aplicam aqui.

As fontes consultadas não trazem assinatura de log ou padrão de tráfego documentado publicamente para identificar tentativas de exploração desta falha especificamente — apenas a confirmação, via catálogo KEV da CISA, de que a exploração ativa ocorreu. Na ausência de indicador oficial, monitorar tentativas de conexão ao serviço Agent originadas de hosts que não são o servidor de gerenciamento Backup Exec legítimo, e falhas ou anomalias no processo de autenticação do Agent nos logs da própria aplicação, é a abordagem prática disponível — mas isso não é um IOC confirmado pelo fornecedor ou por pesquisadores nas fontes lidas.