CVE-2021-27104

Falha de OS command injection nos endpoints administrativos do Accellion FTA (File Transfer Appliance), explorável remotamente sem autenticação via uma requisição POST manipulada. Faz parte do conjunto de quatro zero-days (junto com CVE-2021-27101, 27102 e 27103) usados em campanha de exfiltração de dados em massa no início de 2021, atribuída ao grupo UNC2546 e à extorsão subsequente ligada ao Clop ransomware — por isso está no catálogo KEV da CISA mesmo com CVSS 9.8 em produto já descontinuado.

A vulnerabilidade está em endpoints administrativos do FTA que processam parâmetros de requisições POST sem sanitização adequada antes de passá-los para chamadas de sistema no backend. O resultado é execução de comandos arbitrários no sistema operacional subjacente com os privilégios do processo web (CWE-78, injeção de comando OS), combinada com falha de validação de entrada mais ampla catalogada como CWE-20 pela CISA. Não há detalhamento público completo do fornecedor sobre qual parâmetro específico é injetável nem qual endpoint exato — a advisory da Accellion (publicada no repositório de CVEs deles) trata o caso de forma resumida, sem PoC.

O atacante controla o conteúdo do corpo da requisição POST enviado a esses endpoints admin, o que é suficiente para atingir a falha sem necessidade de sessão autenticada válida — daí o vetor de rede com AC:L e PR:N no CVSS. FTA é um appliance legado de transferência de arquivos com cerca de 20 anos de idade na época da descoberta, arquitetura que explica por que essas classes de falha (injeção direta em chamadas de shell) ainda existiam em código de produção.

Essa CVE não ocorre isolada: pesquisadores que analisaram o incidente de exploração em massa documentaram que ela foi encadeada com as outras três CVEs do mesmo lote (SQL injection e SSRF/path traversal, dependendo da CVE) para obter acesso inicial, escrever um webshell no appliance e depois exfiltrar arquivos armazenados no FTA.

O vetor é uma requisição HTTP POST diretamente para endpoints administrativos do FTA expostos na rede — não exige autenticação prévia, o que classifica a falha como crítica para qualquer instância acessível pela internet. A CISA descreve a exploração real como uma requisição POST manipulada a 'various admin endpoints', sem publicar o payload; a exploração documentada por pesquisadores de segurança que investigaram a campanha de 2021 mostra que o objetivo final dos atacantes era plantar um webshell no appliance para exfiltrar arquivos de clientes armazenados no FTA, não necessariamente obter shell interativo persistente.

A campanha associada (atribuída ao UNC2546) rodou de dezembro de 2020 a princípios de 2021, atingindo dezenas de organizações que ainda operavam FTA exposto. Após a exfiltração inicial, houve uma segunda onda de extorsão conduzida por atores ligados ao ransomware Clop, que ameaçavam publicar os dados roubados — sem necessariamente ter implantado ransomware nos ambientes das vítimas, caracterizando extorsão pura baseada em dados.

A condição prática que reduz o alcance hoje é que o FTA é produto legado, com fim de vida anunciado pela Accellion para 30 de abril de 2021: qualquer instância remanescente e exposta representa risco crítico imediato, mas o universo de alvos vem encolhendo por descontinuação natural do produto, não por patch amplamente aplicado.

O fornecedor corrige a falha na versão FTA_9_12_380 e posteriores; toda versão 9_12_370 ou anterior é vulnerável. Não há detalhe de flag de configuração ou WAF rule oficial publicada pela Accellion como paliativo — a orientação do fornecedor e da CISA é atualizar.

Como o FTA atingiu fim de vida em abril de 2021 e o próprio fornecedor incentiva migração para outra plataforma, a mitigação real e definitiva para quem ainda opera essa versão é descontinuar o appliance FTA e migrar os fluxos de transferência de arquivo para outra solução — aplicar apenas o patch pontual não resolve o problema de suporte, já que não há mais ciclo de atualização de segurança contínuo para esse produto. Isolar o endpoint administrativo do FTA da internet pública (acesso restrito a rede de gerência) reduz a superfície de ataque, mas não elimina a falha caso um atacante já tenha pé na rede interna.

Não existe mitigação eficaz baseada apenas em desativar contas de admin padrão ou trocar senhas: a falha é de injeção de comando pré-autenticação nos endpoints, não de credenciais fracas — trocar senha não fecha a vulnerabilidade.

A CISA e a comunidade de resposta a incidentes que investigou a campanha de 2021 associam a exploração a POSTs anômalos para endpoints administrativos do FTA seguidos da criação de arquivos de webshell no appliance e volumes de transferência de saída incomuns (indicativos de exfiltração de arquivos armazenados). Não há assinatura de payload publicada pelo fornecedor ou pela CISA nesta CVE específica, então a detecção depende de análise de log do próprio appliance (acessos a endpoints admin fora do padrão operacional, presença de arquivos não esperados no sistema de arquivos do FTA) e de monitoramento de egress de dados anormal a partir do host.

Como o produto está fora de suporte e a maioria dos ambientes remanescentes já deveria ter sido migrada, a ausência de telemetria centralizada torna difícil hoje confirmar tentativas de exploração recentes — qualquer instância FTA ainda em produção deve ser tratada como alvo de campanha automatizada de scanners que ainda testam essas CVEs antigas.