CVE-2021-31755

Falha de stack buffer overflow no endpoint /goform/setmac da interface de gerência web dos roteadores Tenda AC11, presente em firmwares até a versão 02.03.01.104_CN. Permite execução de código arbitrário via requisição POST manipulada e está no catálogo KEV da CISA com exploração confirmada — CVSS 9.8 e EPSS acima de 0.85 refletem risco real, não inflado.

O endpoint /goform/setmac é um handler CGI do firmware Tenda (típico do httpd embarcado usado em roteadores dessa linha) responsável por processar a configuração de endereço MAC via requisições POST. O código copia dado do corpo da requisição para um buffer de tamanho fixo alocado na stack sem validar o tamanho da entrada antes da cópia, o que caracteriza CWE-787 (Out-of-bounds Write) / stack buffer overflow clássico.

Como o binário roda com privilégios elevados no dispositivo (processo do servidor web embarcado, geralmente root em roteadores domésticos), o overflow sobrescreve o quadro de pilha e permite controle do fluxo de execução — na prática, execução de código arbitrário no contexto do processo do firmware.

A descrição oficial e o registro CISA não detalham qual campo exato do POST carrega o dado que dispara o overflow, nem o tamanho do buffer vulnerável. Não há informação pública apurada nas fontes disponíveis sobre a arquitetura de CPU (MIPS/ARM) do binário afetado ou sobre proteções de mitigação de memória (ASLR/NX) presentes no firmware, o que também influencia a dificuldade real de weaponização em cada unidade específica.

O vetor é uma requisição HTTP POST diretamente para /goform/setmac na interface de administração web do dispositivo, acessível pela rede (AV:N no CVSS). O vetor CVSS 3.1 publicado marca PR:N (sem privilégios) e UI:N (sem interação do usuário), o que sugere que o endpoint pode ser alcançado sem autenticação prévia válida — mas as fontes disponíveis não confirmam explicitamente se o dispositivo exige sessão autenticada antes de aceitar a requisição ou se há um bypass de autenticação associado. Essa é a lacuna mais importante para avaliar risco real em cada ambiente: se o painel de administração estiver exposto à internet ou a uma rede não confiável, a superfície de ataque é total; se estiver isolado atrás de firewall/VLAN de gerência, o pré-requisito de acesso à rede administrativa já reduz bastante a exposição.

A vulnerabilidade está confirmada como exploração ativa: consta no catálogo KEV da CISA desde novembro de 2021, o que indica exploração observada em campo, consistente com o padrão de botnets IoT que escaneiam a internet por painéis Tenda expostos. O EPSS de 0.858 reforça alta probabilidade de tentativas de exploração automatizadas. Existe template Nuclei público para detecção/exploração e um repositório de análise técnica (Yu3H0/IoT_CVE) documentando a falha, o que baixa a barreira de complexidade — uma vez identificado o dispositivo e a versão de firmware vulnerável, a exploração é considerada de baixa complexidade (AC:L).

O resultado final de uma exploração bem-sucedida é execução de código arbitrário no dispositivo com o nível de privilégio do processo do servidor web, tipicamente controle total do roteador — persistência, pivô para a rede interna, inclusão em botnet.

O fornecedor não publicou, nas fontes apuradas aqui, um número de versão de firmware corrigida específica para o AC11 além de indicar que versões até 02.03.01.104_CN são vulneráveis. A recomendação da CISA no catálogo KEV é genérica: 'Apply updates per vendor instructions' — ou seja, verificar diretamente no site/suporte da Tenda se há firmware mais recente disponível para o modelo AC11 e aplicá-lo. Não há confirmação apurada aqui de que uma versão fixa tenha sido lançada e testada por terceiros.

Caso não exista atualização disponível ou o dispositivo já esteja em fim de vida (comum em roteadores domésticos Tenda), o paliativo real é isolar a interface de administração: desativar o acesso remoto/WAN à página de gerência, restringir /goform/* a uma VLAN de gerência confiável, e bloquear a porta HTTP/HTTPS de administração no firewall perimetral. Esse controle não corrige a falha, mas elimina a exposição direta pela internet, que é o vetor predominante de exploração em massa observada em dispositivos Tenda.

Não funciona como mitigação: apenas trocar a senha padrão do painel, já que o CVSS indica PR:N e não há confirmação de que autenticação seja de fato exigida para acionar o endpoint vulnerável — presumir que uma senha forte neutraliza o risco é um mito que não se sustenta sem evidência apurada sobre o mecanismo de autenticação do endpoint.

Monitorar logs do servidor web embarcado (quando disponíveis) ou tráfego de rede por requisições POST para /goform/setmac com corpo de requisição anormalmente longo ou contendo padrões de bytes não imprimíveis/shellcode, especialmente originadas de fora da rede de gerência esperada. Existe template Nuclei público para o endpoint, o que também serve como base para regra de IDS/WAF customizada, mas não há assinatura oficial de fornecedor de segurança citada nas fontes disponíveis — na ausência de logging HTTP detalhado no próprio roteador (comum nesses dispositivos IoT de baixo custo), não há sinal confiável de detecção pós-fato além de indícios de comportamento anômalo do dispositivo (reinicializações inesperadas, tráfego de botnet).