CVE-2021-20090

Falha de path traversal (CWE-22) nas interfaces web de roteadores Buffalo WSR-2533DHPL2 (firmware ≤1.02) e WSR-2533DHP3 (firmware ≤1.24), que rodam firmware base da Arcadyan. Pesquisadores da Tenable descobriram que o defeito não é exclusivo da Buffalo: está presente no firmware Arcadyan usado por pelo menos 20 modelos de 17 fabricantes e operadoras diferentes (Vodafone, Telus, Verizon, Orange, ASUS, Deutsche Telekom, entre outros), tornando o alcance real muito maior do que a descrição oficial sugere. Está no catálogo KEV da CISA com exploração ativa confirmada, incluindo campanhas que instalam variantes do Mirai.

A causa raiz é uma 'bypass list' de diretórios (como /images/, /js/, /css/) que o firmware trata como públicos, sem exigir autenticação. O mecanismo de checagem de autenticação decide se uma requisição precisa de sessão válida com base no prefixo do caminho da URL, não no recurso final solicitado. Isso permite que um atacante monte uma URL como /images/..%2findex.htm — o servidor identifica o prefixo /images/ como não autenticado e libera o acesso, mas o traversal codificado (..%2f) faz o servidor resolver e entregar o recurso real (index.htm), que deveria exigir login.

O problema é agravado porque certos arquivos sob /cgi/ exigem um token CSRF (chamado 'httoken' nesses dispositivos) e um header Referer válido — mas o path traversal permite obter esse token também sem autenticação, fechando o círculo: o atacante consegue tanto burlar a autenticação de páginas quanto extrair o token necessário para interagir com endpoints que alterariam configuração.

A Tenable documentou duas falhas relacionadas na mesma família de firmware, exclusivas dos modelos Buffalo WSR-2533: CVE-2021-20091 (injeção em arquivo de configuração via apply_abstract.cgi, permitindo habilitar telnetd e obter execução remota, mas exigindo autenticação prévia ou uso combinado com o traversal) e CVE-2021-20092 (controle de acesso impróprio que expõe informações sensíveis, incluindo a senha de admin, via token obtido em loginerror.html). CVE-2021-20090 é a peça central porque remove a barreira de autenticação que protegeria as outras duas.

Há divergência de severidade entre fontes: o NVD/CVSS oficial cravou AV:N/AC:L/PR:N/UI:N (9.8), enquanto o vetor original publicado pela Tenable no advisory técnico usa AC:H, resultando em 8.1. A diferença está na complexidade de ataque exigida — a Tenable considera necessário ajuste de proxy (match/replace) para que recursos carregados corretamente também usem o traversal, o que eleva ligeiramente a complexidade prática em relação ao que o vetor NVD assume.

O vetor é rede, sem necessidade de autenticação prévia: basta acesso HTTP à interface de administração do dispositivo. Na prova de conceito da Tenable, o atacante monta requisições para caminhos como /images/..%2findex.htm, /js/..%2findex.htm ou /css/..%2findex.htm para acessar páginas normalmente protegidas por login. Para que páginas carregadas dessa forma funcionem completamente (CSS, JS, recursos), é necessário ajustar as requisições subsequentes via proxy (match/replace) para que elas também usem o traversal — essa é a complexidade adicional que a Tenable capturou no AC:H.

Uma vez com acesso à página, o atacante pode obter um httoken válido (o token CSRF do dispositivo) e usá-lo em chamadas a endpoints como cgi/cgi_i_filter.js, extraindo informações sensíveis, incluindo a senha de administrador (isso já cruza para CVE-2021-20092 na família Buffalo). Com token e sessão efetivamente contornados, o atacante pode prosseguir para alterar configurações do roteador — em modelos Buffalo, isso abre caminho para injetar parâmetros no arquivo de configuração global e habilitar serviços como telnetd, obtendo shell no dispositivo após reboot (CVE-2021-20091).

A exploração ativa foi observada por pesquisadores rastreando origem de tráfego na região de Wuhan, China, distribuindo uma variante do Mirai — ou seja, o objetivo predominante documentado é recrutamento de dispositivos para botnet DDoS/proxy, não espionagem direcionada. O KEV da CISA confirma exploração in-the-wild desde antes de novembro de 2021.

O fornecedor (Buffalo) recomenda atualizar para a versão de firmware mais recente disponível para cada modelo; nenhuma das fontes analisadas especifica o número exato da versão corrigida publicada pela Buffalo — o advisório em japonês da Buffalo (referenciado pelo CERT/CC) trata do caso, mas o conteúdo não foi lido para confirmar o número de build corrigido. Antes de assumir que uma atualização resolve, confirme no changelog oficial do modelo se o path traversal foi corrigido nessa versão específica.

Como a falha afeta o firmware base Arcadyan usado por dezenas de modelos de múltiplos fabricantes (não só Buffalo), o mesmo cuidado se aplica a qualquer dispositivo com esse firmware: verificar changelog do fabricante correspondente, já que cada um libera correção em cronograma próprio — muitos, segundo o CERT/CC, ainda não haviam respondido ou confirmado impacto em 2021.

Controle compensatório real, quando não há patch disponível: desabilitar a administração remota (WAN-side) do roteador e desabilitar a interface web voltada para a WAN — essa é a recomendação explícita do CERT/CC. Isso não corrige a falha, mas remove a exposição via internet, que é o vetor predominante de exploração observada. Trocar a senha padrão de admin não mitiga nada aqui, porque a vulnerabilidade contorna a autenticação inteira — não depende de credencial fraca.

Em logs de acesso web do dispositivo ou de qualquer proxy/WAF na frente dele, procurar por URLs contendo sequências de traversal codificadas em diretórios normalmente públicos, como /images/..%2f, /js/..%2f ou /css/..%2f, seguidas por nomes de páginas que exigiriam autenticação (index.htm, páginas de configuração). Também vale observar requisições a endpoints cgi/ (como cgi_i_filter.js) com parâmetros de token (_tn) vindos de sessões sem login prévio, e acessos a loginerror.html seguidos rapidamente por chamadas a apply_abstract.cgi ou outros .cgi de configuração — padrão associado à extração de httoken e posterior alteração de config.

Como muitos desses dispositivos SoHo não geram logs detalhados ou não os retêm, e o tráfego de exploração se parece superficialmente com navegação legítima (requisições GET/POST HTTP simples), não há sinal de rede único e confiável sem inspeção de payload das URLs — a ausência de log não indica ausência de exploração nesses equipamentos.