CVE-2023-49897

Roteadores wireless LAN AE1021 e AE1021PE da fabricante japonesa FXC Inc. contêm uma falha de OS command injection (CWE-78) no campo de configuração do servidor NTP, explorável por um usuário autenticado no painel de gerenciamento. A falha está no catálogo KEV da CISA com exploração ativa confirmada por JPCERT/CC e Akamai SIRT, o que eleva sua prioridade mesmo exigindo autenticação prévia — muitos desses dispositivos usam senha padrão nunca alterada, o que na prática reduz a barreira de autenticação a zero.

A vulnerabilidade está na funcionalidade de configuração do servidor NTP da interface administrativa do firmware. O valor informado pelo usuário para o endereço/host do servidor NTP é passado sem sanitização adequada para um comando de sistema executado no dispositivo (CWE-78, Improper Neutralization of Special Elements Used in an OS Command). O atacante controla o conteúdo desse campo e consegue injetar metacaracteres de shell para encadear comandos arbitrários.

Existe divergência entre as fontes quanto ao Attack Vector do CVSS. O NVD registra CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (score 8.8, vetor de rede). Já o JVN (JPCERT/CC) e o advisory ICSA-23-355-01 da CISA calculam CVSS:3.0/3.1 com AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (score 8.0, vetor de rede adjacente — ou seja, o atacante precisa estar na mesma rede/segmento Wi-Fi ou LAN do dispositivo, não necessariamente na internet aberta). Essa diferença de AV muda substancialmente o perfil de exposição real: o cenário descrito pelo fabricante e por JPCERT/CC pressupõe acesso à rede local do roteador, não acesso remoto irrestrito pela internet.

Em todos os relatos, o pré-requisito comum é PR:L (privilégios baixos) — o atacante precisa conseguir logar no painel administrativo do produto. Não há indicação de bypass de autenticação nas fontes consultadas; a falha é pós-autenticação.

O vetor de exploração documentado é a interface de administração web do roteador: o atacante autenticado insere um payload de injeção de comando no campo de configuração do servidor NTP, que é processado pelo sistema operacional subjacente do dispositivo, resultando em execução arbitrária de comandos com os privilégios do processo que trata essa configuração. CISA descreve o impacto como remote code execution via as configurações de NTP.

O pré-requisito real de autenticação (PR:L) é o ponto mais relevante para avaliar risco: sem uma sessão administrativa válida, o exploit não funciona diretamente. Mas esse requisito é fragilizado pelo hábito comum de deixar credenciais padrão de fábrica em dispositivos SOHO/embarcados como este, o que na prática aproxima o cenário de exploração remota sem interação do usuário-vítima (UI:N).

JPCERT/CC confirmou tráfego de rede explorando essa falha antes da publicação do advisory, e a Akamai SIRT reportou a vulnerabilidade à CISA de forma independente — ambos os fatos sustentam a entrada no catálogo KEV com exploração ativa confirmada. As fontes consultadas não detalham publicamente um exploit completo nem os comandos exatos usados nos ataques observados.

A correção definitiva é atualizar o firmware para a versão 2.0.10, disponibilizada pela FXC em 06/12/2023 para ambos os modelos (AE1021 e AE1021PE). O próprio fabricante recomenda, além da atualização, resetar o dispositivo para configuração de fábrica ('Factory setting') e trocar a senha padrão de login do painel administrativo — sem essa troca de senha, a barreira de autenticação que reduz a severidade da falha (PR:L) não existe na prática.

Se a atualização não for possível, a CISA recomenda como mitigação compensatória: não expor a interface de gerenciamento do dispositivo à internet, isolar a rede do equipamento por trás de firewall separado da rede corporativa, e usar VPN para qualquer acesso remoto administrativo — reconhecendo que VPN não é mitigação por si só, apenas reduz a superfície de exposição direta. Caso nenhuma dessas medidas seja viável, a CISA orienta descontinuar o uso do produto.

Manter senha padrão de fábrica não é mitigação sob nenhuma hipótese, mesmo com firmware atualizado — é o fator que na prática elimina a exigência de PR:L nesse tipo de dispositivo de borda.

JPCERT/CC afirma ter confirmado comunicação de rede que exploraviaa a falha antes da divulgação, mas as fontes consultadas não publicam assinaturas, IoCs ou padrões de log específicos. Na prática, o sinal a procurar é qualquer alteração não autorizada no campo de configuração de servidor NTP do painel administrativo contendo metacaracteres de shell (;, |, &, $(), backticks) nas requisições HTTP/HTTPS de gerenciamento, e tentativas de login administrativo com credenciais padrão seguidas de alteração dessa configuração. Não há assinatura de detecção oficial confirmada nas fontes; monitorar logins bem-sucedidos na interface de gestão e alterações de configuração de NTP fora de janelas de manutenção é o indicador prático disponível.