CVE-2021-22894

Buffer overflow no módulo de Collaboration Suite (salas de reunião) do Pulse Connect Secure permite que um usuário remoto já autenticado execute código arbitrário como root. Está no catálogo KEV da CISA como exploração confirmada, mas a exigência de autenticação prévia (PR:L) reduz o universo de exploração a atacantes que já conseguiram credenciais válidas de acesso VPN — não é um RCE pré-autenticação como outras falhas do mesmo produto que circularam na mesma época.

A falha está na funcionalidade de 'meeting room' do Collaboration Suite do Pulse Connect Secure, o componente que trata sessões de reunião/colaboração dentro do portal VPN SSL. Um campo controlado pelo usuário ao criar ou manipular uma sala de reunião é processado sem validação de tamanho adequada, permitindo que dados maliciosamente construídos ultrapassem os limites de um buffer interno.

O fornecedor descreve o defeito como buffer overflow clássico (estouro de memória), mas o catálogo KEV da CISA classifica a entrada sob CWE-94 (Improper Control of Generation of Code / Code Injection) em vez de CWE relacionado a overflow — divergência de categorização entre fornecedor e CISA que vale registrar, sem que isso mude o impacto prático: execução de código no contexto do processo, que no Pulse Connect Secure roda como root.

Como o processo que atende requisições de sessão de VPN/portal roda com privilégios elevados, corromper a estrutura de memória nesse ponto dá ao atacante controle total do apliance, não apenas do processo específico da sala de reunião. Não há detalhamento público técnico (offset, estrutura de dados exata, tamanho do buffer) nas fontes oficiais disponíveis — o advisory da Pulse Secure (SA44784) não publica esse nível de profundidade, típico da política do fornecedor de não detalhar internals de falhas corrigidas em apliances de segurança.

O pré-requisito central, e a informação mais relevante para quem avalia risco real: o atacante precisa de uma sessão autenticada no Pulse Connect Secure (PR:L no vetor CVSS). Isso significa credenciais válidas de VPN — obtidas por phishing, reuso de senha, comprometimento prévio de outro sistema, ou por combinação com outra falha de bypass de autenticação divulgada no mesmo período para esse produto. Não é uma falha explorável por um atacante anônimo direto contra o portal.

Com uma sessão válida, o atacante cria ou manipula uma sala de reunião com conteúdo malicioso construído para forçar o overflow no processamento do servidor. A exploração não exige interação de outro usuário (UI:N) e a complexidade de ataque é considerada baixa (AC:L) pelo CVSS, uma vez satisfeita a condição de autenticação. O resultado final é execução de código arbitrário como root no apliance — comprometimento total do dispositivo, incluindo capacidade de interceptar tráfego VPN, extrair segredos de sessão e usar o apliance como pivô para a rede interna.

A presença no catálogo KEV da CISA confirma exploração em ambiente real, mas as fontes disponíveis não detalham campanha, ator ou cadeia de exploração específica associada a este CVE isoladamente. É preciso lembrar que esta CVE foi corrigida junto com um conjunto maior de vulnerabilidades no mesmo advisory (SA44784) divulgado em período de exploração ativa e generalizada do Pulse Connect Secure por múltiplos atores — o que não permite atribuir com certeza, apenas com estas fontes, se a exploração observada usou exatamente este vetor de meeting room ou outra falha do mesmo boletim.

A correção oficial é atualizar para Pulse Connect Secure 9.1R11.4 ou versão posterior, conforme o advisory SA44784. Não há paliativo de configuração publicado pelo fornecedor nas fontes disponíveis (como desabilitar o Collaboration Suite) — se esse módulo de salas de reunião não for usado no ambiente, desativá-lo ou restringir seu acesso reduz a superfície de ataque, mas isso é medida defensiva não confirmada como mitigação oficial pelo fornecedor, apenas uma inferência razoável do vetor descrito.

Como a exploração depende de autenticação prévia, controles compensatórios de valor real incluem: MFA obrigatório para acesso VPN (reduz o risco de credenciais comprometidas serem usadas), monitoramento e revogação agressiva de sessões suspeitas, e segmentação de rede que limite o que uma sessão VPN comprometida pode alcançar. Nenhum desses substitui o patch — apenas reduzem a chance de um atacante chegar ao ponto de explorar a falha.

O mito a descartar: acreditar que exigir autenticação (PR:L) torna a falha de baixo risco. O KEV da CISA e o prazo de correção sob a Emergency Directive 21-03 tratam este e outros CVEs do Pulse Connect Secure daquele período como prioridade máxima, justamente porque credenciais VPN são um ativo frequentemente comprometido em ataques reais — a barreira de autenticação é mais baixa na prática do que sugere o CVSS isolado.

As fontes disponíveis não trazem assinatura de rede, IOC ou padrão de log específico publicado pelo fornecedor ou pela CISA para esta CVE isoladamente. Como indício genérico, vale revisar logs de auditoria do Pulse Connect Secure relacionados à criação/edição de salas de reunião (Collaboration Suite) por contas cujo comportamento normal não envolve esse recurso, e correlacionar com processos ou atividade anômala pós-autenticação no apliance — mas isso é heurística geral, não um indicador confirmado de exploração deste CVE específico.