CVE-2023-25717

Falha crítica em pontos de acesso Wi-Fi Ruckus (ZoneDirector, SmartZone e Solo AP) que permite execução remota de código sem autenticação através do endpoint de login /forms/doLogin, injetando comandos de shell no parâmetro password. Está no catálogo KEV da CISA com exploração confirmada, e o vetor é tão simples — uma única requisição GET — que qualquer scanner de internet consegue automatizar a descoberta e o abuso.

O endpoint de autenticação /forms/doLogin recebe login_username e password via GET e, antes ou independentemente da validação das credenciais, passa o conteúdo do parâmetro password para uma chamada de shell no backend do dispositivo. Como a entrada não é sanitizada, sintaxe de substituição de comando do shell (o padrão $(comando) demonstrado no PoC) é interpretada literalmente, resultando em execução arbitrária de comandos com os privilégios do processo web da AP. A CISA classifica a falha sob CWE-94 (Code Injection), embora o mecanismo demonstrado seja mais precisamente injeção de comando via metacaracteres de shell.

O mesmo endpoint aceita GET sem qualquer token anti-CSRF, então além da RCE direta existe uma segunda falha combinada: um formulário HTML hospedado em site de terceiros pode forçar o navegador de uma vítima com acesso à interface de gestão do AP a submeter a requisição maliciosa automaticamente, sem qualquer interação além de abrir a página.

O fornecedor confirma que a vulnerabilidade reside no componente de web services do software da AP e que ela afeta as famílias ZoneDirector, SmartZone e Solo AP quando esse componente está habilitado — ou seja, a superfície de ataque depende de o serviço web de administração estar ativo e acessível na rede, não é uma característica sempre presente.

O ataque é uma única requisição HTTP GET não autenticada contra /forms/doLogin, com o payload de comando embutido no parâmetro password usando sintaxe de substituição de shell. Não é necessário login válido, token de sessão ou qualquer etapa prévia — basta alcançar a interface web de administração do dispositivo na rede. O PoC público demonstra o disparo de curl para um host controlado pelo atacante, confirmando execução de comando arbitrário.

O pré-requisito real, muitas vezes omitido, é o alcance de rede: a interface de gestão web precisa estar exposta (diretamente à internet, a uma VLAN de gestão mal segmentada, ou acessível pelo navegador de um administrador via CSRF) e o componente de web services precisa estar habilitado no dispositivo — não é um estado padrão universal em todo deployment. Onde essas condições existem, a exploração é trivial: sem interação do usuário (RCE direta) ou com uma única visita a página maliciosa (variante CSRF).

A presença no catálogo KEV da CISA confirma exploração ativa in-the-wild; a data de inclusão foi 2023-05-12 com prazo de correção definido para 2023-06-02 para agências federais dos EUA. A existência de template Nuclei indica que a vulnerabilidade é amplamente varrida por scanners automatizados e integrada a ferramentas ofensivas de massa, aumentando a chance de exploração oportunista contra qualquer AP exposto.

O fornecedor publicou correções por linha de produto (Security Bulletin 20230208). Para os APs afetados (H350, H550, R350, R550, R560, R650, R750, entre outros da mesma geração), a Ruckus disponibilizou o SmartZone AP Patch 7.1.1 (Patch 2) Refresh, com releases de base vSZ 6.1.2 (LT-GD Patch 6) para a linha de estabilidade e vSZ 7.1.1 (Patch 1) para a linha de tecnologia. Aplicar o patch correspondente à plataforma de gestão (ZoneDirector, SmartZone ou Unleashed/Solo AP) é a correção primária — verifique o bulletin oficial para a versão exata compatível com seu modelo, pois o bulletin lista patches por produto e não uma versão única global.

Se o patch não puder ser aplicado — cenário comum em dispositivos fora de suporte —, a CISA recomenda desconectar o produto da rede. Como paliativo real, restringir o acesso à interface de gestão web a uma VLAN de administração isolada e sem rota à internet elimina o pré-requisito de alcance de rede que o ataque exige, tanto para a RCE direta quanto para a variante CSRF (que depende do navegador da vítima ter acesso à interface). Desabilitar o componente de web services do AP, quando não indispensável para a operação, remove a superfície vulnerável por completo.

Filtrar por assinatura no WAF (bloquear $( ou backticks no parâmetro password) não é mitigação confiável: a superfície de ataque é um GET simples, facilmente ofuscado com codificação de URL ou variação de sintaxe, e depende de o WAF estar posicionado na frente do tráfego de gestão — algo raro para interfaces administrativas de dispositivos de rede.

Procure em logs de acesso web do AP ou de proxies à frente dele por requisições GET para /forms/doLogin cujo parâmetro password contenha metacaracteres de shell — $(, crase (`), ponto e vírgula, pipe — combinados com login_username=admin, padrão idêntico ao do PoC público. Tráfego de saída inesperado do próprio dispositivo AP (conexões curl/wget para IPs externos não relacionados à operação normal) é indicador forte de exploração bem-sucedida, já que o comando injetado normalmente busca confirmar execução ou estabelecer callback.

Não há assinatura de exploração 'silenciosa' conhecida — como o ataque não exige nenhuma etapa de reconhecimento prévia, uma varredura direta ao endpoint vulnerável pode ser a primeira e única evidência antes da execução do comando, sem tentativas de login legítimas anteriores no mesmo IP de origem.