Cisco Catalyst SD-WAN Manager Arbitrary File Write Vulnerability

Falha de directory/path traversal (CWE-22) na interface web do Cisco Catalyst SD-WAN Manager (ex-vManage) permite que um usuário autenticado, mesmo com privilégios baixos, grave ou sobrescreva arquivos arbitrários no sistema operacional subjacente. O CVSS 6.5 parece moderado, mas a falha está no catálogo KEV da CISA com exploração confirmada em ambiente real e é usada como primeiro passo para escalar a root — o dano prático é bem maior do que o score sugere.

A vulnerabilidade fica no processo de upload de arquivos da interface web, especificamente no handler que processa perfis do Cisco AnyConnect para o recurso SD-WAN Remote Access (SDRA) — visto no log oficial como 'SdraAnyConnectFileUploadHandler'. O software não valida corretamente o nome/caminho do arquivo enviado pelo usuário, permitindo sequências de path traversal (../../../../) no campo de nome de arquivo da requisição HTTP para a API de upload.

O atacante controla o caminho de destino do arquivo gravado. No caso documentado pela Cisco, o traversal foi usado para escrever um arquivo .war diretamente no diretório de deployments do WildFly (/var/lib/wildfly/standalone/deployments/), o servidor de aplicação Java que hospeda o vManage. O WildFly monitora esse diretório e faz deploy automático de qualquer artefato colocado ali — isso transforma uma escrita arbitrária de arquivo em execução de código dentro do contexto do serviço.

O CWE-22 é a classificação correta: o bug não é ausência total de autenticação, é falta de sanitização de caminho durante uma operação de upload legítima. A CISA cataloga a falha como 'Directory or Path Traversal Vulnerability', reforçando isso, enquanto o resumo executivo da Cisco fala genericamente em 'file write' sem mencionar traversal — a mecânica real só aparece nos IOCs do próprio advisory.

Pré-requisito real: o atacante precisa de credenciais válidas na interface web do SD-WAN Manager. Há divergência entre as fontes sobre o nível de privilégio exigido — a descrição oficial resumida da CVE fala em conta de 'single-task user' de baixo privilégio, enquanto o corpo do advisory da Cisco especifica 'credenciais válidas com pelo menos acesso de escrita'. O vetor CVSS (PR:L) confirma que privilégio baixo é suficiente; não é necessário acesso administrativo prévio, mas também não é uma falha pré-autenticação.

Com uma conta válida, o ataque consiste em enviar uma requisição HTTP manipulada ao endpoint de upload de perfil AnyConnect/SDRA, embutindo sequências de traversal no nome do arquivo para escapar do diretório de destino pretendido e colocar o payload em um local sensível — no caso observado, o diretório de auto-deploy do WildFly. Isso não exige interação de usuário (UI:N) nem condições de rede exóticas além de acesso à interface de gerenciamento, mas exige que o SD-WAN Manager esteja acessível ao atacante (idealmente não exposto à internet).

A Cisco confirmou exploração limitada em ambiente real em junho de 2026, o que motivou a entrada imediata no catálogo KEV da CISA com prazo de mitigação até 29/06/2026. O resultado final documentado é deploy de um artefato WAR malicioso que passa a responder a requisições HTTP próprias, servindo como shell web para o atacante — abrindo caminho para escalada a root, embora o impacto direto do CVE em si seja classificado apenas como integridade (I:H), sem confidencialidade ou disponibilidade.

Não existe workaround. O próprio advisory da Cisco declara explicitamente 'There are no workarounds that address this vulnerability' — a única remediação é atualizar para uma versão corrigida. Restringir acesso à interface de gerenciamento (evitar exposição à internet, limitar por ACL/VPN) reduz a superfície de ataque mas não elimina a falha, já que qualquer usuário autenticado de baixo privilégio pode explorá-la.

Versões corrigidas por branch: 20.9.9.1 e anteriores → 20.9.9.2; 20.12.7.1 e anteriores → 20.12.7.2; 20.15.4.4 e anteriores → 20.15.4.5; 20.15.5.2 e anteriores → 20.15.5.3; 20.18.3 → 20.18.3.1; 26.1.1.1 e anteriores → 26.1.1.2. Confirme a versão exata na saída do próprio sistema, não confie em versões de release notes genéricas.

Como há exploração ativa confirmada e a falha está no KEV, tratar como incidente potencial: após atualizar, revisar logs históricos em busca dos indicadores documentados pela Cisco para verificar se o sistema já foi comprometido antes do patch. Auditoria de contas com privilégio de escrita e revisão de artefatos implantados no WildFly (deployments) é recomendada independentemente da atualização, já que o patch corrige a vulnerabilidade mas não remove artefatos maliciosos já plantados.

A Cisco publicou três entradas de log específicas para auditoria. Em /var/log/nms/vmanage-server.log, procurar por entradas do handler 'SdraAnyConnectFileUploadHandler' com nome de arquivo contendo sequências de traversal (../../../../) apontando para caminhos fora do diretório esperado de perfis AnyConnect, especialmente para /var/lib/wildfly/standalone/deployments/ — esse é o indicador de vetor inicial de comprometimento. Em /var/log/nms/vmanage-appserver.log, buscar linhas 'WFLYSRV0010: Deployed' referenciando artefatos .war com nomes suspeitos ou não reconhecidos como parte da operação normal. Em /var/log/nms/containers/service-proxy/serviceproxy-access.log, requisições POST para caminhos correspondentes ao nome do artefato implantado (ex.: //index.jsp) indicam interação pós-exploração com o webshell.

A Cisco alerta que as duas últimas categorias de log nem sempre aparecem — sua ausência não descarta comprometimento. Sistemas expostos à internet têm risco elevado; recomenda-se correlacionar esses logs com a postura de rede normal para evitar falsos positivos, e usar 'request admin-tech' nos componentes de controle para gerar evidência a ser submetida ao TAC da Cisco em caso de suspeita.