CVE-2008-4128

Múltiplas vulnerabilidades de CSRF na interface de administração HTTP do Cisco IOS 12.4, demonstradas no roteador Integrated Services Router 871, permitem que um atacante remoto execute comandos EXEC arbitrários no dispositivo desde que a vítima (um administrador autenticado) visite uma página maliciosa com o navegador. O CVSS 4.3 subestima o risco real em ambientes com a interface HTTP de gerência exposta e sessão de admin ativa: o impacto final é execução de comando com privilégio 15 (root de gerência) no roteador, incluindo a capacidade de criar aliases EXEC persistentes. Está no catálogo KEV da CISA com exploração confirmada e PoC pública desde 2008.

A falha é CWE-352 (Cross-Site Request Forgery). A interface de administração HTTP do Cisco IOS aceita comandos EXEC e de configuração via requisições GET/POST para URIs no padrão /level/15/exec/-, sem qualquer token anti-CSRF, verificação de Referer/Origin ou reautenticação por ação sensível. Como o IOS usa autenticação HTTP Basic/Digest por sessão de navegador, uma vez que o administrador autentica no painel, o navegador passa a enviar as credenciais automaticamente em qualquer requisição subsequente para o mesmo host — inclusive as forjadas por uma página de terceiros.

Dois vetores foram documentados. O primeiro (CVE-2008-4128 propriamente) injeta o comando "show privilege" via POST para /level/15/exec/-, usado como prova de conceito de execução de comando arbitrário — qualquer outro comando EXEC pode ser substituído no campo "command". O segundo vetor usa o comando "alias exec" via POST para /level/15/exec/-/configure/http, que cria um alias de comando persistente na configuração do roteador, permitindo abuso mais duradouro (execução de qualquer sequência de comandos sob um nome de alias controlado pelo atacante).

O atacante não precisa de acesso à rede do roteador nem de credenciais: ele controla apenas o conteúdo de uma página web ou e-mail HTML que a vítima abra enquanto está autenticada no painel do dispositivo. O servidor HTTP do IOS confia ciegamente em qualquer requisição bem formada que chegue com cookie/credencial de sessão válida, sem validar a origem da requisição.

O vetor de ataque é clássico CSRF: o atacante hospeda um formulário HTML com auto-submit (via onload) apontando para o IP ou hostname do roteador-alvo, e induz o administrador logado a abri-lo — phishing, watering hole, ou até um anúncio malicioso. Os dois exploits publicados usam exatamente esse padrão: um formulário POST oculto que dispara automaticamente ao carregar a página.

O pré-requisito real, que a manchete "execução remota de comando" esconde, é que a vítima precisa estar com uma sessão HTTP administrativa ativa no roteador (browser autenticado) no momento em que visita a página maliciosa, e a interface de administração HTTP do IOS precisa estar habilitada e acessível pelo navegador da vítima — tipicamente LAN de gerência, mas também WAN se exposta incorretamente. Não há necessidade de o atacante estar na mesma rede do roteador; a única exigência de rede é que o navegador da vítima alcance a interface HTTP do dispositivo.

O resultado prático documentado nos PoCs é execução de um comando EXEC arbitrário (não apenas "show privilege", que serve como prova) e, no segundo vetor, criação de um alias exec persistente na configuração — o que dá ao atacante um mecanismo de execução de comandos que sobrevive à sessão da vítima. A CISA confirma exploração ativa ao incluir a falha no catálogo KEV com CWE-352, mas não há detalhes públicos sobre campanhas específicas além dos PoCs de 2008.

Não há, entre as fontes consultadas, um número de versão de correção específico do Cisco IOS para esta CVE — o boletim consultado é a página de fim de suporte da série 12.4 Mainline, cujo End-of-Support Date é 2016-01-31; a série inteira está obsoleta e sem manutenção. Dispositivos ainda em campo com IOS 12.4 devem ser migrados para uma release atualmente suportada pelo fornecedor, verificando o advisory correspondente para a versão específica do trem de release em uso.

Como controle compensatório imediato — e o mais eficaz contra a classe CSRF nesta interface — desabilite o servidor HTTP/HTTPS de administração do IOS quando não for estritamente necessário (comandos 'no ip http server' e 'no ip http secure-server'), ou restrinja o acesso a ele por ACL a hosts de gerência confiáveis, nunca à WAN. Se a interface HTTP for indispensável, evite usá-la em navegadores que mantenham sessões abertas simultaneamente a outras abas/sites, e prefira SSH/console para tarefas administrativas sensíveis.

Não funciona como mitigação: apenas trocar a senha do administrador ou usar HTTPS em vez de HTTP na interface de gerência — a falha está na ausência de proteção CSRF, não na confidencialidade do transporte nem na força da credencial. Enquanto o servidor de administração HTTP do IOS aceitar comandos sem validação de origem, qualquer sessão autenticada de admin permanece explorável por este mecanismo.

Nos logs do servidor HTTP do IOS (quando 'ip http server'/'ip http secure-server' e logging de acesso estão habilitados), procure por requisições POST para URIs no padrão /level/15/exec/- e /level/15/exec/-/configure/http originadas de sessões de administrador, especialmente com corpo contendo os parâmetros 'command', 'command_url' ou 'new_command_url' — em particular comandos 'alias exec' inesperados criando aliases não solicitados pela equipe de operações. Como a requisição forjada carrega a mesma sessão/cookie legítimo do administrador, ela é indistinguível de uma ação administrativa genuína a menos que se correlacione com o campo Referer/Origin (ausente ou de domínio externo) ou com auditoria de mudanças de configuração ('alias exec' novo aparecendo em 'show running-config' sem correspondência a change request). Não há assinatura de rede confiável específica para esta CVE nas fontes consultadas; a detecção depende de auditoria de configuração e correlação de sessão administrativa com origem da requisição.