CVE-2021-36380

Falha de injeção de comandos de SO não autenticada no script CGI /cgi/networkDiag.cgi do SureLine, software que roda em gateways de vigilância de tráfego aéreo da Sunhillo (RICI, Longport, Brigantine SGP, Ventnor, Margate II ADS-B). Qualquer atacante com acesso de rede à interface de gerenciamento consegue executar comandos arbitrários com os privilégios do processo web, sem login. O CVSS 9.8 é coerente com o risco real aqui — não há pré-condição de autenticação ou configuração especial que reduza a exposição.

A falha é CWE-78 (OS Command Injection). O script /cgi/networkDiag.cgi expõe uma função de diagnóstico de rede que aceita os parâmetros ipAddr e dnsAddr, presumivelmente para alimentar comandos de diagnóstico como ping ou nslookup no sistema operacional subjacente. O valor recebido nesses parâmetros é passado para uma chamada de shell sem sanitização ou escaping de metacaracteres (;, |, &, `, $(), etc.), permitindo que o atacante encadeie comandos arbitrários à instrução original.

O endpoint não exige autenticação — é acessível diretamente via HTTP/HTTPS a qualquer cliente que alcance a interface web do dispositivo. Isso combinado com a injeção sem sanitização produz execução remota de código no contexto do processo do servidor web/CGI, que em dispositivos embarcados desse tipo costuma correr com privilégios elevados (root ou equivalente), já que são appliances dedicados de conversão/roteamento de dados de vigilância.

O detalhamento fino de qual comando exato é concatenado e a sintaxe precisa da injeção não constam nas fontes públicas revisadas com detalhe suficiente para reprodução; o que está estabelecido é o vetor (parâmetros ipAddr/dnsAddr do CGI de diagnóstico de rede) e a classe de falha (CWE-78).

O vetor é uma requisição HTTP(S) direta ao endpoint /cgi/networkDiag.cgi com metacaracteres de shell embutidos no valor de ipAddr ou dnsAddr. Não há necessidade de autenticação, interação do usuário, nem condição de rede especial além de conectividade TCP até a interface de gerenciamento do dispositivo — por isso o vetor CVSS AV:N/AC:L/PR:N/UI:N. A complexidade de exploração é baixa: é um caso clássico de injeção de comando em CGI legado, exatamente o tipo de falha coberto por templates automatizados (existe template Nuclei público para detecção/exploração).

A CISA classifica o impacto prático como permitindo negação de serviço ou uso do dispositivo para persistência na rede — ou seja, além de RCE, o interesse do atacante inclui transformar o gateway comprometido em pivot dentro da rede onde ele está instalado. Como esses dispositivos operam em ambientes de vigilância/tráfego aéreo, o comprometimento tem relevância de infraestrutura crítica, não apenas de TI corporativa.

A CVE está no catálogo KEV da CISA (adicionada em 2024-03-05, prazo de correção 2024-03-26), confirmando exploração ativa observada — apesar de a CVE ter sido publicada em 2021, o registro em KEV só ocorreu quase três anos depois, sugerindo que a exploração em campo foi detectada/relatada tardiamente, não que a vulnerabilidade seja recente. EPSS de 0.976 coloca a falha entre as de maior probabilidade de exploração observada no ecossistema.

O fornecedor corrigiu a falha na versão SureLine 8.7.0.1.1. Atualizar para essa versão ou posterior é a mitigação definitiva; o advisory do vendor está publicado em sunhillo.com/fb011/.

Se a atualização não for viável de imediato, a CISA orienta aplicar as mitigações do fornecedor ou descontinuar o uso do produto caso nenhuma mitigação esteja disponível — não há paliativo de configuração documentado nas fontes revisadas que neutralize o problema sem patch. Como controle compensatório genérico, restringir o acesso à interface de gerenciamento web do dispositivo (rede segmentada, firewall, VPN de gestão) reduz a superfície de exposição, mas não elimina o risco caso um atacante já tenha alcance interno à rede de gerenciamento.

Não existe mitigação eficaz baseada apenas em desabilitar autenticação adicional ou trocar credenciais — o endpoint é explorável sem autenticação, então controles de login não mitigam nada. A única mitigação real além do patch é isolar/remover o acesso de rede ao CGI vulnerável.

Em logs do servidor web/CGI do dispositivo, procurar requisições para /cgi/networkDiag.cgi contendo metacaracteres de shell (;, |, &, `, $(), >, <, \n) nos parâmetros ipAddr ou dnsAddr — isso é o indicador direto de tentativa de exploração. Ferramentas de varredura automatizada (incluindo o template Nuclei público para essa CVE) geram esse padrão de requisição, então repetição de tentativas com payloads variados no mesmo endpoint, vindas de faixas de IP não administrativas, é sinal forte de scanning ou exploração ativa.

Não há um IOC de pós-exploração documentado nas fontes públicas revisadas (arquivo, processo ou string específica deixada pelo atacante); a detecção prática depende de monitorar tráfego/logs de acesso ao CGI vulnerável e de auditoria de processos anômalos executados pelo daemon web do dispositivo.