CVE-2014-3931

MRLG (Multi-Router Looking Glass) é uma ferramenta CGI em Perl usada por operadores de rede para expor consultas de roteador (ping, traceroute, BGP) via web, sem entregar credenciais do roteador ao público. O componente fastping.c, responsável pela funcionalidade de ping rápido, contém uma falha de corrupção de memória (CWE-119) que permite a um atacante remoto e não autenticado escrever em memória arbitrária. A CVE ficou anos sem repercussão até ser adicionada ao catálogo KEV da CISA em julho de 2025, confirmando exploração ativa.

A falha está no utilitário fastping.c, parte do MRLG anterior à versão 5.5.0. A descrição oficial do fornecedor caracteriza o problema como permitindo 'arbitrary memory write and memory corruption' — um overflow de buffer clássico (CWE-119, violação de limites de leitura/escrita em buffer) explorável através da funcionalidade de ping exposta pela interface web do MRLG.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N) indica que a exploração não exige autenticação nem interação do usuário, consistente com a natureza do MRLG: uma aplicação CGI voltada ao público, instalada em servidores web para permitir que qualquer visitante dispare consultas de ping contra hosts na rede do operador. O atacante controla, no mínimo, o campo de destino da consulta de ping que é processado pelo código de fastping.c, e esse processamento falha em validar corretamente os limites de dados antes de escrever em memória.

As fontes disponíveis não detalham a estrutura exata do buffer afetado (pilha vs. heap), o formato do campo de entrada explorado, nem se a falha resulta em execução de código ou apenas em corrupção/negação de serviço. O próprio fornecedor limita-se a confirmar 'memory corruption' sem elaborar o primitivo de exploração — isso é uma lacuna real de informação pública, não uma omissão nossa.

O vetor de ataque é a interface web do MRLG, tipicamente exposta publicamente pelos operadores de rede que a mantêm para permitir consultas de looking glass sem expor credenciais de roteador. Como o MRLG roda como CGI sob o servidor web (exigindo privilégios ExecCGI), qualquer requisição HTTP que acione a funcionalidade de ping do fastping.c é candidata ao vetor. Não há indicação, nas fontes disponíveis, de necessidade de autenticação, configuração não padrão ou controle de campos específicos além do já implícito no uso normal da função de ping — o que casa com a nota CVSS PR:N/UI:N.

A presença no catálogo KEV da CISA confirma exploração ativa registrada, mas a data de inclusão (julho de 2025) é muito posterior à publicação original da CVE (2017) e ao lançamento da correção (2014), sugerindo um ciclo de vida atípico: a vulnerabilidade ficou latente em instalações antigas e não atualizadas por anos antes de reaparecer como alvo de campanhas de exploração observadas pela CISA. Não há detalhe público sobre a carga útil final obtida pelos atacantes (execução de código remoto vs. apenas corrupção de memória/DoS) nas fontes consultadas.

O fato de o MRLG ser voltado a operadores de rede e provedores (a lista de usuários divulgada pelo próprio projeto inclui IXPs, NRENs e ISPs) torna instalações vulneráveis potencialmente valiosas como pivô dentro de infraestrutura crítica de rede, mesmo que o impacto direto da falha em si seja limitado ao processo CGI do servidor web.

A correção oficial é atualizar para MRLG 5.5.0 ou posterior, lançado em 27 de setembro de 2014, que substitui o utilitário de ping por uma implementação revisada. O próprio site do projeto recomenda atualização imediata para qualquer instalação anterior a essa versão.

Se a atualização não for viável no curto prazo, a orientação da CISA no catálogo KEV é aplicar mitigações conforme instrução do fornecedor ou, na ausência delas, descontinuar o uso do produto. Como paliativo técnico realista, restringir o acesso à interface web do MRLG (por IP de origem, autenticação em camada de proxy, ou desativação da funcionalidade de ping específica no CGI) reduz a superfície de exposição, mas não elimina a falha subjacente em fastping.c — é mitigação de acesso, não de vulnerabilidade.

Não há indicação de que WAFs genéricos detectem ou bloqueiem de forma confiável esse padrão de exploração, dado que as fontes não descrevem assinatura de payload conhecida; qualquer regra de bloqueio seria heurística e não substitui a atualização de versão.

As fontes consultadas não descrevem assinaturas de log, padrões de payload ou indicadores de tráfego específicos associados à exploração dessa falha. Na ausência de detalhamento técnico público sobre o formato exato da requisição maliciosa, a detecção confiável via log de servidor web ou IDS não pode ser afirmada com precisão — o que existe é a confirmação de exploração ativa pelo catálogo KEV da CISA, sem indicadores de comprometimento publicados nas fontes disponíveis.