CVE-2017-6862

Buffer overflow em um parâmetro da interface web de administração dos roteadores NETGEAR WNR2000 (v3, v4, v5) permite bypass de autenticação e execução remota de código sem credenciais. O CVSS 9.8 reflete o pior cenário, mas o próprio fornecedor afirma que a falha só é alcançável se o atacante já estiver na rede interna ou se o gerenciamento remoto estiver habilitado — condição que não é padrão de fábrica.

A falha (CWE-119, violação de limites de buffer) está em um parâmetro processado pelo webapp de administração do firmware do WNR2000. O pesquisador Maxime Peterlin, da ON-X, identificou que o serviço HTTP administrativo não valida corretamente o tamanho de um campo de entrada antes de copiá-lo para um buffer de tamanho fixo, corrompendo memória adjacente na pilha ou heap do processo.

O efeito prático combina dois problemas em um só bug: o overflow ocorre antes da checagem de autenticação, o que permite ao atacante contornar o login da interface web, e a corrupção de memória é controlável o suficiente para desviar o fluxo de execução e injetar comandos que o dispositivo executa com privilégios do processo web (tipicamente root em firmware embarcado NETGEAR).

As fontes disponíveis não detalham o offset exato do buffer, o nome do parâmetro vulnerável nem a rotina de código afetada — a NETGEAR nunca publicou esse nível de detalhe técnico no advisory, e o PDF da ON-X (referenciado mas não lido integralmente aqui) é a fonte mais provável para essa profundidade.

O vetor é uma requisição HTTP não autenticada contra a interface de administração web do roteador, contendo o parâmetro malformado que dispara o overflow. Não há necessidade de credenciais válidas — esse é o ponto central da vulnerabilidade.

O pré-requisito real, segundo a própria NETGEAR, é acesso à interface administrativa: isso significa estar na rede interna (LAN/Wi-Fi do roteador) ou ter o gerenciamento remoto habilitado, recurso que vem desativado por padrão. Isso reduz drasticamente a superfície de exposição direta pela internet em relação ao que o CVSS 9.8 (AV:N) sugere — o vetor de rede do CVSS considera a interface acessível, não pressupõe exposição pública real.

A vulnerabilidade está no catálogo KEV da CISA (adicionada em 2022-06-08, com prazo de correção em 2022-06-22), confirmando exploração ativa observada — típico de campanhas de varredura em massa contra roteadores domésticos com gerenciamento remoto exposto ou comprometidos via redes já invadidas, visando adicionar o dispositivo a botnets IoT.

A correção definitiva é atualizar o firmware para as versões corrigidas: WNR2000v3 1.1.2.14 ou superior, WNR2000v4 1.0.0.66 ou superior, WNR2000v5 1.0.0.42 ou superior. O modelo R2000 também é citado como afetado pelo advisory da NETGEAR, mas as fontes consultadas não informam a versão de firmware que o corrige — verificar diretamente no Download Center da NETGEAR para esse modelo.

Se a atualização não for possível (linha de produtos já descontinuada em muitos casos), o paliativo real é garantir que o gerenciamento remoto esteja desativado nas configurações avançadas do roteador — reduz a exposição à rede interna, mas não elimina o risco caso o atacante já tenha pé na LAN (ex.: dispositivo comprometido na mesma rede, Wi-Fi com senha fraca). Segmentar a rede e restringir acesso à interface de administração (porta de gerenciamento) por firewall/VLAN é controle compensatório efetivo quando a atualização não é viável.

Não existe mitigação via WAF nesse caso — o dispositivo é o próprio ponto de gerenciamento, não há camada intermediária típica de aplicação web corporativa. Trocar a senha de admin não mitiga, pois a falha ocorre antes da autenticação.

As fontes consultadas não descrevem assinaturas de tráfego, payloads ou strings específicas associadas à exploração dessa CVE. Como sinal geral, requisições HTTP não autenticadas para a interface de administração do roteador (fora do padrão normal de uso, especialmente originadas da WAN quando o gerenciamento remoto está habilitado) merecem investigação, assim como reinicializações inesperadas do dispositivo ou processos desconhecidos rodando nele — indicativo comum de comprometimento de roteadores IoT. Não há um indicador de comprometimento público e confiável documentado nas fontes revisadas.