CVE-2016-6367

Falha no parser de linha de comando (CLI) do Cisco ASA Software (e nos EoL Cisco PIX e FWSM) que permite a um usuário local já autenticado escalar privilégios ou causar negação de serviço ao submeter comandos malformados/inválidos. É a vulnerabilidade por trás do exploit EPICBANANA, vazado pelo grupo Shadow Brokers em agosto de 2016 e atribuído ao arsenal da Equation Group/NSA. Apesar do nome chamativo e da presença no catálogo KEV da CISA, o requisito de acesso local autenticado limita bastante o universo de exploração direta — o risco real está em cenários onde credenciais de baixo privilégio (ou acesso a uma sessão de console/VTY) já foram obtidas por outro meio.

A falha está no parser do CLI do ASA (CWE-119, buffer overflow, segundo o advisory da Cisco; o catálogo KEV da CISA classifica como CWE-77, command injection — as fontes divergem na categorização exata do defeito). O bug interno é o CSCtu74257, corrigido pela Cisco já em 2011 dentro do ciclo normal de manutenção, mas só recebeu um advisory formal e uma CVE em agosto de 2016, depois que o exploit apareceu no vazamento do Shadow Brokers — ou seja, a correção existia antes da divulgação pública da falha.

O mecanismo depende de o dispositivo aceitar 'certos comandos inválidos' via CLI. Um atacante com uma sessão autenticada (console, Telnet, SSH ou VTY, dependendo da configuração do dispositivo) envia sequências de comandos malformadas que o parser não trata corretamente, corrompendo memória o suficiente para causar DoS ou, conforme a Cisco descreve, potencialmente executar código arbitrário no contexto do próprio dispositivo.

O atacante não precisa de privilégio de enable/nível 15 previamente — precisa apenas estar autenticado no dispositivo (AC:L/PR:L no vetor CVSS informado), o que caracteriza escalação de privilégio local, não um ataque remoto não autenticado.

Pré-requisito central: acesso local e autenticado ao CLI do ASA/PIX/FWSM. Isso normalmente significa uma sessão de console física, ou uma sessão remota de gerência (Telnet/SSH) já estabelecida com credenciais válidas de baixo privilégio. Não há vetor de rede não autenticado — quem já teria acesso de gerência ao equipamento (um operador com privilégio restrito, ou um atacante que obteve credenciais fracas/reutilizadas) é o perfil de ataque.

O exploit público conhecido é o EPICBANANA, parte do dump do Shadow Brokers atribuído ao Equation Group, disponibilizado como PoC funcional no Exploit-DB (EDB-ID 40271). A Cisco confirmou que o defeito subjacente já estava corrigido desde 2011, então a 'exploração ativa' documentada no KEV da CISA se refere a equipamentos legados nunca atualizados — não a uma falha recém-descoberta sendo exploração em massa hoje.

O resultado da exploração bem-sucedida é escalação de privilégio no próprio dispositivo de firewall/VPN, com potencial DoS ou execução de código no plano de controle — em um ASA isso significa comprometer o ponto de inspeção de tráfego da rede, não apenas uma máquina qualquer.

Não existe workaround publicado pela Cisco — a única correção real é atualizar o software. Para o branch 8.4, a versão corrigida é 8.4(3); para os branches 7.2, 8.0, 8.1, 8.2, 8.3, 8.5, 8.6 e 8.7 não há fix dentro do próprio branch, sendo necessário migrar para 9.0(1) ou posterior; a partir de 9.1 o ASA não é afetado. Cisco PIX e Firewall Services Module (FWSM) atingiram fim de suporte antes do advisory e não receberão correção — a única mitigação real para esses dois produtos é a substituição do hardware/software, já que continuam vulneráveis permanentemente.

Como controle compensatório, restrinja rigorosamente quem tem acesso de CLI (console, SSH, Telnet, VTY) ao dispositivo, elimine contas compartilhadas ou de baixo privilégio desnecessárias, e use AAA com logging de comandos para detectar tentativas de comandos anômalos. Isso reduz a superfície mas não elimina a falha — o único remédio efetivo é a atualização de versão.

Não adianta tratar isso como problema de perímetro: como a exploração exige acesso já autenticado, controles de borda (ACL de gerência, firewall externo) só ajudam se impedirem que credenciais comprometidas alcancem a interface de gerência do próprio ASA.

A Cisco publicou as Snort Rules 39983 a 39987 associadas a este advisory, voltadas para detectar tentativas de exploração via CLI. Como o vetor exige uma sessão de gerência já autenticada, o sinal mais confiável em ambiente corporativo é auditoria de comandos via AAA/TACACS+ (logging de comandos executados no ASA) buscando sequências de CLI malformadas ou comandos inválidos repetidos, e monitoramento de crashes/reloads inesperados do dispositivo, que podem indicar tentativas de DoS via este bug. Não há assinatura de rede aplicável no sentido tradicional, já que o ataque ocorre dentro de uma sessão de gerência já estabelecida, não em tráfego de dados.