Cisco SD-WAN Software Privilege Escalation Vulnerability

Falha de path traversal (CWE-25) na CLI do Cisco SD-WAN que permite a um atacante local já autenticado escalar de usuário comum para root. O CVSS 7.8 reflete corretamente que é um privesc local grave, mas a pré-condição real — acesso a um shell restrito (vshell) no dispositivo — significa que não é uma falha remota; ela importa porque devices SD-WAN costumam ter múltiplos operadores com acesso CLI de baixo privilégio e porque a Cisco confirmou tentativas de exploração ativa mais de três anos após a publicação original, levando a CISA a emitir uma Diretiva de Emergência com prazo de correção de 48 horas.

O binário confd_cli_grp, executado com SUID a partir do shell restrito vshell, monta uma sessão CLI no daemon confd. Para descobrir a que grupos o usuário pertence, ele concatena o diretório fixo /etc/viptela/aaa_auth_grp com o nome de usuário (lido da variável de ambiente USER, controlada pelo atacante) e o sufixo .external, sem sanitizar sequências de travessia de diretório. Um atacante define USER=/../../../../tmp/foo e cria um symlink /tmp/foo.external apontando para o arquivo confd_ipc_secret — a chave usada para assinar as mensagens entre confd_cli_grp e confd.

O bug é agravado por uma segunda falha equivalente na libnss_viptela.so, chamada via getpwnam_r() para validar o 'usuário': a biblioteca aceita qualquer string desde que exista um diretório /tmp/vipnss.* e o arquivo referenciado, tornando trivial forjar uma identidade de usuário arbitrária. O resultado combinado (CWE-25 no confd_cli_grp e na libnss, mais CWE-282 na confiança implícita depositada no segredo de IPC) permite ler qualquer arquivo do sistema através do parser de grupos e, mais criticamente, vazar o confd_ipc_secret que autentica e assina as mensagens de configuração de sessão trocadas com o confd.

Com o segredo em mãos, o atacante pode interceptar (via redirecionamento de CONFD_IPC_PORT) o handshake challenge/response e forjar uma mensagem de configuração assinada declarando uid=0 e gid=0, fazendo o confd aceitar uma sessão CLI com privilégios de root.

O pré-requisito real é acesso local já autenticado a um shell restrito no equipamento (vshell), tipicamente com uma conta de baixo privilégio como admin ou netadmin — não é uma falha explorável remotamente sem essa base. A partir daí, o ataque não exige interação de terceiros (UI:N) nem escalonamento de complexidade (AC:L): o atacante manipula a variável de ambiente USER, cria o symlink malicioso, dispara o confd_cli_grp e faz um man-in-the-middle local na comunicação IPC entre confd_cli_grp e confd para capturar o segredo e assinar uma sessão root falsa. A Orange CERT-CC publicou prova de conceito completa demonstrando o fluxo (challenge/response, vazamento da chave, forjamento da configuração) em dispositivos vEdge x86 e mips64 nas versões 20.6.1 e 20.6.2.

O ganho final é shell root irrestrito no dispositivo SD-WAN, o que em um equipamento de borda de rede significa controle total sobre roteamento, políticas de VPN/overlay e potencialmente pivô para a infraestrutura de gerenciamento (vManage/vSmart/vBond).

A CVE está no catálogo KEV da CISA desde 25/02/2026, com prazo de correção de apenas dois dias (27/02/2026) — um SLA extremamente curto que normalmente indica exploração ativa confirmada e generalizada. O próprio advisory da Cisco foi atualizado (versão 1.2) informando que o PSIRT identificou tentativas de exploração em fevereiro de 2026, mais de três anos após a divulgação inicial, e a CISA emitiu uma Diretiva de Emergência (ED-26-03) específica para dispositivos Cisco SD-WAN.

Não existe workaround — a própria Cisco declara isso explicitamente no advisory. A única remediação é atualizar para uma versão corrigida: trem 20.6 para 20.6.3, trem 20.7 para 20.7.2, trem 20.8 para 20.8.1. Dispositivos em 18.4 e anteriores, 19.2 e 20.3 não têm patch pontual — a orientação da Cisco é migrar para um release corrigido mais recente (efetivamente, essas versões estão fora de manutenção para esta falha). A versão 20.9 já não é afetada.

Cisco IOS XE SD-WAN Software foi confirmado como não vulnerável — a falha é específica da linha de software SD-WAN baseada em Viptela/confd (vEdge, vManage, vSmart, vBond), não da integração IOS XE.

Como controle compensatório até a atualização, restringir e auditar rigoramente quem tem acesso de shell local (vshell) aos dispositivos, e seguir as orientações de hunt/hardening publicadas pela CISA para SD-WAN, reduz a superfície de exploração — mas não elimina a falha, já que qualquer conta local de baixo privilégio com acesso à CLI continua podendo escalar. Segmentação de rede ou controle de acesso remoto (SSH/console) não mitigam o vetor em si, pois o ataque ocorre inteiramente no lado local do dispositivo após a autenticação inicial.

Não há um IOC de rede único, já que a exploração ocorre localmente via IPC entre confd_cli_grp e confd. Sinais a procurar: histórico de shell (vshell) com manipulação da variável de ambiente USER contendo sequências de travessia de diretório (../); criação de symlinks em /tmp ou diretórios temporários apontando para confd_ipc_secret ou outros arquivos sensíveis; arquivos com extensão .external fora do diretório esperado /etc/viptela/aaa_auth_grp; e conexões ou redirecionamentos anômalos envolvendo a variável CONFD_IPC_PORT, que indicariam tentativa de interceptação do handshake IPC. A CISA publicou um guia específico de "Hunt & Hardening Guidance for Cisco SD-WAN Devices" como parte da Diretiva ED-26-03, recomendado como referência para detecção mais detalhada nesse contexto de exploração ativa.