CVE-2018-0171
Patch now. It under exploitation confirmed by CISA, has a working public exploit and 1 threat group(s) use it.
Groups known to exploit this vulnerability (MITRE ATT&CK attribution).
Apply updates per vendor instructions.
Summary
Falha de escrita fora dos limites (out-of-bounds write) no processamento de mensagens do protocolo Smart Install em switches Cisco Catalyst rodando IOS ou IOS XE. Um atacante não autenticado que alcance a porta TCP 4786 pode causar buffer overflow, derrubando o dispositivo (reload/watchdog crash) ou, segundo a Cisco, executar código arbitrário. É crítica porque Smart Install client vinha habilitado por padrão em muitos switches, não exige nenhuma credencial, e está no catálogo KEV da CISA com exploração ativa confirmada — inclusive uma atualização de 2025 no próprio advisory da Cisco reafirma exploração contínua sete anos depois da publicação.
Technical detail
O Smart Install é um recurso de provisionamento zero-touch da Cisco em que um switch atua como 'cliente' e recebe configuração/imagem de um 'director' central via um protocolo proprietário não autenticado sobre TCP/4786. O cliente confia implicitamente em qualquer mensagem que chegue nessa porta, presumindo que só o director legítimo fala esse protocolo — não há autenticação nem validação de origem.
A CVE-2018-0171 (CWE-787, conforme classificação da própria Cisco no advisory; catálogos como o KEV também referenciam CWE-20 de validação de entrada) está na rotina de parsing de mensagens Smart Install do IOS/IOS XE. O parser não valida corretamente o tamanho/estrutura de campos do pacote antes de copiá-los para buffer, permitindo que dados controlados pelo atacante sobrescrevam memória adjacente. Dependendo do que é sobrescrito, o processo trava (reload ou watchdog crash — DoS) ou o fluxo de execução é desviado para código controlado pelo atacante.
O atacante controla o conteúdo do pacote Smart Install enviado à porta 4786: campos, tamanhos e payload da mensagem são inteiramente arbitrários, já que o protocolo não impõe autenticação nem assinatura. Isso é o que torna o vetor tão direto — não há estado de sessão a forjar, apenas alcançar a porta e enviar a mensagem malformada.
Apenas dispositivos configurados como Smart Install client são afetados; um dispositivo configurado como director não processa essas mensagens da mesma forma e não é vulnerável a este CVE. Cisco confirma que IOS XR e NX-OS não são afetados — o problema é específico do código IOS/IOS XE clássico.
How it’s exploited
Pré-requisito real, e é o ponto mais importante da página: o switch precisa ter o cliente Smart Install habilitado e a porta TCP/4786 alcançável pelo atacante. Em muitas releases de IOS anteriores à correção do bug CSCvd36820, esse recurso vem ativado por padrão mesmo sem uso — ou seja, um switch nunca configurado para Smart Install pode estar exposto sem que ninguém tenha pedido isso. Não é necessário estar na mesma VLAN de gerência necessariamente; basta roteabilidade IP até a porta 4786, o que em redes corporativas mal segmentadas ou com equipamentos expostos à internet é trivialmente satisfeito.
O ataque em si é de baixa complexidade (AC:L) e não exige interação do usuário nem qualquer credencial (PR:N/UI:N): o atacante monta e envia um pacote Smart Install malformado diretamente à porta 4786 do switch-alvo. Ferramentas públicas de varredura e exploração para Smart Install (incluindo o conhecido projeto SIET e módulos incorporados em scanners de rede) tornaram esse ataque acessível mesmo a operadores com pouca sofisticação técnica — daí o score EPSS próximo de 1.0, indicando probabilidade quase certa de tentativas de exploração observadas na telemetria usada para calibrar o modelo.
Na prática documentada desde 2018, a exploração foi usada tanto para negação de serviço em massa (campanhas de scanning que reiniciavam switches Cisco expostos, incluindo eventos noticiados envolvendo infraestrutura crítica) quanto, conforme a Cisco descreve, para execução de código arbitrário. A CISA manteve o CVE no catálogo KEV com prazo de correção histórico (due date 2022-05-03) e a própria Cisco atualizou o advisory em agosto de 2025 reafirmando atividade de exploração contínua — sinal de que dispositivos vulneráveis remanescentes continuam sendo alvo ativo, não apenas histórico.
Versions
How to protect
A Cisco declara explicitamente no advisory que não há workaround para a vulnerabilidade em si ('No workarounds available'); a correção é atualizar para uma versão de IOS/IOS XE que trate o Cisco Bug ID CSCvg76186. As fontes coletadas não trazem a lista release-a-release de versões corrigidas — use o Cisco Software Checker referenciando esse bug ID para identificar o release exato aplicável ao seu hardware antes de planejar a atualização.
Como controle compensatório real quando a atualização imediata não é viável: eliminar a exposição da porta TCP/4786, seja desabilitando completamente a funcionalidade de cliente Smart Install quando ela não é utilizada operacionalmente, seja bloqueando acesso a essa porta via ACL na interface de gerência e segmentação de rede, restringindo-a apenas ao director legítimo (quando o recurso é realmente usado). Isso não corrige a falha de parsing, apenas remove a via de acesso — e tem custo real: se a organização ainda depende de provisionamento Smart Install para novos equipamentos, desabilitar o cliente quebra esse fluxo até a migração para outro método de provisionamento.
Mito a descartar: acreditar que segmentar por VLAN de dados basta. Se a porta 4786 estiver alcançável a partir de qualquer segmento roteável até o switch — inclusive por engano, via ACL mal configurada ou dispositivo exposto diretamente à internet — a segmentação lógica de VLAN não impede o ataque; o controle precisa ser explícito na camada de filtragem de porta/interface de gerência.
How to detect
Monitorar conexões TCP na porta 4786 originadas de hosts que não são o Smart Install director legítimo é o sinal mais direto — qualquer tráfego não esperado nessa porta já é indicativo de tentativa de exploração ou de varredura oportunista, dado que o protocolo não deveria receber conexões de fontes arbitrárias. Reloads inesperados ou crashes por watchdog em switches Catalyst sem causa aparente de hardware/software conhecida, correlacionados com tráfego na 4786 nos logs de firewall/NetFlow, são indício forte de exploração bem-sucedida ou tentada.
As fontes disponíveis não descrevem uma assinatura de payload específica publicada pela Cisco para IDS/IPS; a defesa prática depende de visibilidade de porta/protocolo (NetFlow, ACL logging, ou IPS com regras genéricas para Smart Install) mais do que de assinaturas de conteúdo — na ausência de assinatura oficial, tratar qualquer tráfego não autorizado a 4786 como evento a investigar é a abordagem mais confiável.