Arbitrary file upload vulnerability in FatPipe software

Falha de upload arbitrário de arquivo (CWE-434) na interface web de gerenciamento dos appliances FatPipe WARP, IPVPN e MPVPN, versão 10.x, que permite a um atacante remoto e não autenticado gravar um arquivo em qualquer local do sistema de arquivos do dispositivo. É crítica porque afeta equipamentos de borda de rede (VPN/SD-WAN) expostos à internet para gerenciamento, e está confirmada como explorada ativamente — consta no catálogo KEV da CISA e foi alvo de alerta conjunto FBI/CISA (IC3) associado a atividade de grupo de ameaça em 2021.

A vulnerabilidade está na rotina de upload de arquivos da interface web de gerenciamento (identificada pelo fornecedor como FPSA006, 'Config Upload Exploit'). Segundo a FatPipe, o problema decorre de 'falta de mecanismos de validação de entrada para certas requisições HTTP' — ou seja, o endpoint que recebe o arquivo enviado não restringe adequadamente o caminho de destino nem exige autenticação prévia, permitindo que o atacante controle tanto o conteúdo quanto o local de escrita do arquivo no filesystem do appliance.

O CISA KEV classifica a falha como CWE-434 (Unrestricted Upload of File with Dangerous Type). Isso é consistente com a descrição: não há validação de tipo/extensão nem de destino, o que abre caminho para escrita de arquivos executáveis, scripts de inicialização, chaves de autenticação ou webshells em diretórios sensíveis do sistema.

O vetor de ataque é a própria interface de administração web (AV:N no CVSS, sem exigência de privilégio — PR:N — e sem interação do usuário — UI:N), o que explica o CVSS 9.8. A FatPipe esclarece que a versão 9 da linha de produtos não é afetada; o problema é específico da série 10.

Para explorar a falha basta ter acesso de rede à interface de gerenciamento web do appliance FatPipe (WARP, IPVPN ou MPVPN) — não é necessária autenticação nem qualquer privilégio prévio. O atacante envia uma requisição HTTP manipulada ao endpoint de upload, escolhendo o caminho de destino do arquivo no filesystem, o que na prática permite plantar um arquivo em local que leve a execução de código, persistência ou alteração de configuração do dispositivo.

A superfície de exposição real depende de a interface de gerenciamento estar acessível pela WAN/internet — cenário comum em muitos appliances FatPipe implantados sem restrição de acesso às interfaces administrativas. Dispositivos com a interface de management limitada a rede interna ou por lista de acesso reduzem drasticamente a explorabilidade, mesmo sem patch.

Há exploração confirmada: a CVE está no catálogo KEV da CISA (adicionada em 10/01/2022, com prazo de correção definido para 24/01/2022), e o FBI/CISA emitiram alerta via IC3 associando exploração dessa classe de falha em produtos FatPipe a atividade de ameaça persistente avançada em 2021. As fontes disponíveis não detalham a cadeia completa de exploração pós-upload (ex.: qual arquivo específico é usado para obter execução), apenas confirmam o mecanismo de escrita arbitrária e a exploração no mundo real.

A correção definitiva é atualizar para as versões corrigidas informadas pelo fornecedor: 10.1.2r60p92 ou posterior, e 10.2.2r44p1 ou posterior. A FatPipe não publicou workaround específico e completo para o FPSA006 nas fontes consultadas; para as demais falhas da mesma leva de advisories (FPSA001, 003, 004, 005), o fornecedor afirma explicitamente 'não há workarounds' e recomenda como controle compensatório desabilitar o acesso à interface de gerenciamento em todas as interfaces WAN, ou configurar listas de acesso (ACLs) na página de interface para permitir conexões apenas de origens confiáveis — medida que reduz a exposição mas não elimina a falha subjacente.

Como a exploração exige apenas acesso de rede à interface web e nenhuma credencial, isolar essa interface (VPN de gestão, rede fora de banda, ACL restritiva) é o controle prático mais eficaz enquanto a atualização não é aplicada. Não há indicação nas fontes de que WAF ou proxy reverso genérico mitigue a falha de forma confiável, já que o problema está na própria lógica de validação de upload do appliance.

Dado o registro no KEV, organizações federais dos EUA tiveram prazo de correção até 24/01/2022; qualquer ambiente com esses appliances expostos deve tratar a atualização como prioridade imediata, não apenas por causa do CVSS, mas pela exploração ativa já confirmada.

As fontes consultadas não trazem assinaturas, IOCs ou padrões de log específicos publicados para esta CVE. Como indício geral de tentativa de exploração, vale monitorar requisições HTTP/HTTPS anômalas direcionadas a endpoints de upload da interface de gerenciamento FatPipe, especialmente sem sessão autenticada válida, e verificar a existência de arquivos novos ou inesperados fora dos diretórios normais de configuração/backup no filesystem do appliance. Na ausência de assinatura oficial, a defesa mais confiável é reduzir a exposição da interface administrativa e auditar integridade de arquivos do sistema.