CVE-2021-27876

Falha de autenticação (CWE-287) no agente do Veritas Backup Exec anterior à versão 21.2: o esquema de autenticação baseado em SHA usado na comunicação cliente-Agent pode ser contornado, permitindo que um atacante complete o handshake sem credenciais legítimas. Uma vez 'autenticado', ele executa comandos do protocolo de gerenciamento de dados do Agent e, manipulando parâmetros de um desses comandos, lê arquivos arbitrários do sistema com privilégios de SYSTEM. Está no catálogo KEV da CISA com exploração confirmada, tem PoC pública e módulo Metasploit — o risco prático é maior do que o CVSS 8.1 sugere, especialmente para ambientes que expõem o Agent na rede.

A comunicação entre o cliente e o Agent do Backup Exec normalmente exige autenticação bem-sucedida antes de qualquer troca de comandos, tipicamente sobre TLS. O problema está no próprio esquema de autenticação baseado em SHA: uma falha de implementação permite que um atacante complete o processo de autenticação sem possuir credenciais válidas, classificada como CWE-287 (Improper Authentication) pela CISA.

Após contornar essa barreira, o atacante ganha capacidade de emitir comandos do 'data management protocol' do Agent — a camada que orquestra operações de backup/restore. Um desses comandos aceita parâmetros de entrada que, quando manipulados, permitem acessar arquivos fora do escopo pretendido no sistema onde o Agent roda. O ponto crítico é que o Agent do Backup Exec normalmente é executado como serviço com privilégios de SYSTEM no Windows, então a leitura arbitrária de arquivo acontece com o mais alto nível de privilégio local disponível.

As fontes lidas não detalham o algoritmo exato da falha no esquema SHA (se é uma falha de comparação, de derivação de hash, ou de reuso de valor de desafio) nem o nome ou a estrutura exata do comando do protocolo abusado — essa profundidade não está nas referências disponíveis e não deve ser especulada.

O vetor é de rede (AV:N), sem exigência de interação do usuário (UI:N) e com baixa complexidade de ataque (AC:L), segundo o vetor CVSS. O pré-requisito prático é acesso de rede à porta em que o Agent do Backup Exec escuta — em muitos ambientes corporativos essa porta está acessível dentro da rede interna, o que é a condição real que determina exposição, mais do que qualquer configuração exótica.

A cadeia de exploração segue: contornar a autenticação SHA quebrada para abrir uma sessão válida com o Agent, e então enviar o comando do protocolo com os parâmetros manipulados para ler o arquivo desejado. O resultado final documentado pelo fornecedor e pela CISA é leitura arbitrária de arquivo no host com privilégios de SYSTEM — não execução de código nesta CVE específica (a titulação de 'Remote Code Execution' usada por alguma cobertura de terceiros extrapola a descrição oficial, que fala em acesso a arquivo).

A presença no catálogo KEV da CISA confirma exploração ativa registrada, e a existência de PoC pública e de módulo Metasploit reduz drasticamente a barreira técnica — qualquer operador com acesso à rede onde o Agent está exposto pode reproduzir o ataque sem desenvolvimento próprio.

O fornecedor corrige a falha na versão 21.2 do Backup Exec — a descrição oficial declara explicitamente 'before 21.2' como faixa vulnerável, então atualizar para 21.2 ou posterior fecha a falha do esquema de autenticação. As fontes disponíveis não detalham backports específicos para ramos mais antigos (16.x, 20.x etc.); se o ambiente rodar uma linha legada, é preciso confirmar diretamente no advisory do fornecedor (VTS21-001) se há patch correspondente para essa linha.

Como paliativo quando a atualização imediata não é viável: restringir o acesso de rede à porta do Agent do Backup Exec apenas a hosts de gerenciamento confiáveis, via firewall ou segmentação. Isso reduz a superfície de ataque porque a exploração depende de acesso de rede direto ao Agent, mas não corrige a falha de autenticação em si — qualquer host com acesso à porta permitida ainda consegue explorar.

Não há indicação nas fontes de que desativar TLS ou trocar parâmetros de configuração do próprio esquema SHA sirva como mitigação — a falha está na lógica do esquema de autenticação, não em uma opção configurável que possa ser desligada.

Monitorar logs do Agent do Backup Exec por sequências de autenticação anômalas — tentativas de handshake que não seguem o padrão normal de cliente/servidor legítimo, especialmente seguidas imediatamente por comandos de leitura de arquivo fora dos diretórios usuais de backup. Como há módulo Metasploit e PoC pública, é possível que ferramentas de IDS/IPS com assinaturas atualizadas detectem o padrão de pacote da autenticação forjada, mas as fontes disponíveis não fornecem uma assinatura específica confirmada — na ausência dela, a defesa prática é reduzir exposição de rede do Agent e atualizar a versão.