CVE-2021-35394

Falha crítica no daemon de diagnóstico 'MP Daemon' (binário tipicamente chamado 'UDPServer') presente no Realtek Jungle SDK, usado por uma quantidade grande de roteadores e dispositivos IoT baseados em chipsets Realtek. O serviço combina múltiplas corrupções de memória com uma injeção de comando arbitrário, explorável remotamente e sem autenticação — por isso está no catálogo KEV da CISA com exploração confirmada em campo, provavelmente por botnets IoT.

O MP Daemon é um serviço de diagnóstico/manufatura incluído no SDK Realtek Jungle, compilado normalmente como o binário 'UDPServer'. Ele escuta pacotes UDP e processa comandos administrativos usados originalmente em linha de produção (configuração de fábrica de roteadores e dispositivos embarcados) — não é um serviço pensado para exposição pública, mas acaba presente e às vezes acessível em produtos finais.

A CVE cobre um conjunto de falhas no parsing desses pacotes: vulnerabilidades de corrupção de memória (CWE-138, categoria genérica de neutralização inadequada de elementos especiais/dados malformados que corrompem estruturas internas) somadas a uma injeção de comando de sistema operacional (CWE-78). O ponto comum é que o daemon aceita campos de entrada vindos da rede — sem autenticação — e os usa para montar chamadas a funções de execução de comando (como system()/popen()) ou para preencher buffers de tamanho fixo sem validação adequada de tamanho ou conteúdo.

O atacante controla o conteúdo de campos do pacote UDP enviado ao serviço. Dependendo de qual das múltiplas falhas é acionada, o resultado varia entre corrupção de memória explorável para execução de código e injeção direta de comandos no shell do dispositivo, ambos alcançáveis pela mesma superfície de rede (a porta do MP Daemon).

O vetor é rede: um atacante envia pacotes UDP malformados diretamente ao MP Daemon/UDPServer. Não há autenticação envolvida (PR:N, UI:N no vetor CVSS), e a complexidade de ataque é considerada baixa pelo fornecedor/NVD — não há prova de conceito completa nas fontes analisadas aqui, mas o mecanismo (parsing inseguro de campos usados em chamadas de sistema e em buffers) é consistente com exploração determinística uma vez identificado o formato do protocolo.

A pré-condição real que a nota CVSS de 9.8 esconde é a exposição do serviço: o MP Daemon é um utilitário de diagnóstico de fábrica, não pensado para rodar exposto à WAN. O risco concreto depende de o serviço estar habilitado no firmware final do dispositivo e acessível — seja na LAN, seja (em configurações incorretas ou por padrão de fábrica em certos produtos) na interface WAN. Ambientes onde esse serviço foi desabilitado ou nunca habilitado no build de produção não são explicáveis por esta CVE, independente do CVSS.

A presença no catálogo KEV da CISA (adicionada em 10/12/2021, prazo de correção 24/12/2021) confirma exploração ativa observada, típica de campanhas de varredura massiva de IoT/roteadores em busca de portas de diagnóstico expostas — padrão consistente com botnets que agregam dispositivos vulneráveis para DDoS ou proxy de tráfego. O impacto final documentado é execução de código/comando com privilégios do processo do daemon, geralmente root em firmware embarcado.

O fornecedor (Realtek) publicou advisory tratando esta e outras CVEs relacionadas do mesmo SDK (ver PDF de referência, que cobre CVE-2021-35392 e CVE-2021-35395 no mesmo lote). As fontes disponíveis não trazem uma versão específica e confirmada do SDK que corrija o CVE-2021-35394 isoladamente — a ação recomendada pela CISA é genérica: 'aplicar atualizações conforme instrução do fornecedor'. Antes de declarar um dispositivo corrigido, confirme com o fabricante do produto final (não apenas com a Realtek) se o firmware específico incorpora o patch do SDK, já que o Jungle SDK é integrado por múltiplos fabricantes de roteadores e IoT — a correção depende do fabricante do dispositivo final republicar firmware com o SDK atualizado.

Como paliativo, o controle mais efetivo e de baixo custo é desabilitar o MP Daemon/UDPServer quando ele não for necessário para operação normal do dispositivo — é um utilitário de diagnóstico de fábrica, raramente necessário em produção. Onde não for possível desabilitá-lo, bloquear o acesso à porta UDP do serviço por firewall (restringindo a LAN local e nunca expondo à internet) reduz a superfície de ataque a zero para atacantes remotos externos, embora não elimine risco de um atacante já dentro da rede local.

Não existe mitigação eficaz baseada apenas em WAF ou IPS de borda, porque o vetor é UDP direto ao dispositivo, não tráfego HTTP/HTTPS — soluções de camada de aplicação web não cobrem essa exposição.

As fontes disponíveis não detalham a porta UDP específica usada pelo MP Daemon/UDPServer nem assinaturas de exploração publicadas — não há sinal de detecção confiável documentado aqui. Como indicador geral, procure por tráfego UDP anômalo direcionado a serviços de diagnóstico/manufatura em dispositivos com componentes Realtek, processos filhos inesperados originados pelo binário UDPServer, e execuções de comando de sistema com origem nesse processo nos logs do dispositivo (quando disponíveis). A presença de um template Nuclei público para esta CVE indica que existe lógica de detecção de exposição do serviço, mas o conteúdo desse template não foi analisado nesta pesquisa.