CVE-2018-4063

CVE-2018-4063 é um upload irrestrito de arquivo (CWE-434) no ACEManager, a interface web administrativa embutida nos gateways celulares AirLink da Sierra Wireless (ES450, GX450 e outras linhas da família ALEOS). Um usuário autenticado — mesmo com privilégio baixo — consegue subir um script ou binário via upload.cgi, dar a ele o nome de um arquivo .cgi/.sh já existente no diretório de templates e herdar a permissão de execução desse arquivo, obtendo execução de código como root no dispositivo. Importa porque está no catálogo KEV da CISA com evidência de exploração ativa contra roteadores industriais expostos, mesmo sendo uma CVE de 2018 — a CISA adicionou o registro ao KEV só em dezembro de 2025, sinal de campanha recente contra parque instalado que nunca foi atualizado.

O ACEManager expõe um endpoint /cgi-bin/upload.cgi usado para importar arquivos de template de configuração (ex.: SWITemplate.xml). A requisição multipart aceita os campos save-as-filename e file-location, controlados inteiramente pelo cliente, sem validação de extensão, tipo de conteúdo ou destino. Se o nome escolhido coincidir com um arquivo já presente no diretório — Talos identificou fw_expected_rm.cgi, fw_status.cgi, fw_upload_init.cgi, fw_upload_init.sh e rm_switching_action.cgi, todos com bit de execução — o arquivo enviado herda essas permissões executáveis ao sobrescrever o original.

Com isso, um atacante sobe um shell script (ou binário) disfarçado com um desses nomes, e o servidor web passa a servir e executar aquele conteúdo como se fosse o script legítimo. Como o ACEManager roda como root, o processo criado herda esse contexto — não é escalonamento de privilégio, é execução direta com privilégio máximo desde o primeiro comando.

A falha é puramente de falta de controle de tipo/destino de upload (CWE-434) somada a ausência de allowlist de nomes de arquivo grafados no diretório de templates. Não há sandboxing, chroot ou verificação de assinatura entre o upload e a execução subsequente via GET no mesmo caminho.

O CVSS varia entre fontes: o NVD/relato original usa AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (8.8); a Talos recalculou para 9.9 com Scope Changed (S:C); o advisory ICS-CERT (ICSA-19-122-03) usa PR:H em vez de PR:L, chegando a 9.1. A divergência de PR (privilégio necessário) entre as fontes não foi resolvida publicamente — vale tratar como 'requer autenticação', sem assumir se é usuário comum ou administrador.

Pré-requisito real: sessão autenticada no ACEManager (login válido, obtido via POST em /xml/Connect.xml, que retorna um cookie de token) e acesso de rede ao serviço web administrativo — porta HTTP/HTTPS de gerência do dispositivo. O fornecedor afirma que o ACEManager não é acessível por padrão pela interface celular WAN; a exposição prática ocorre quando o dispositivo está em rede LAN/OT sem segmentação, com ACEManager acessível remotamente, ou quando a interface de gerência foi deliberadamente exposta à internet.

Com sessão válida, o ataque é um único POST multipart para /cgi-bin/upload.cgi definindo save-as-filename e file-location para coincidir com um dos arquivos executáveis do diretório de templates, e o conteúdo do upload como payload (script shell ou binário). Uma requisição GET subsequente ao caminho onde o arquivo foi salvo dispara a execução. A complexidade é baixa — não há bypass de proteção adicional, e existe PoC público em Python (Cisco Talos) que automatiza autenticação, upload e disparo.

A Forescout documentou, em honeypots OT monitorados por 90 dias, um cluster de atividade identificado como 'Chaya_005', ativo há pelo menos dois anos, que inicialmente explorou com sucesso roteadores Sierra Wireless antes de expandir para outras tentativas malformadas contra dispositivos de borda — indício de exploração automatizada e indiscriminada contra dispositivos expostos, sem fingerprinting prévio, mais consistente com scanners/botnets batendo em qualquer IP do que com ataque direcionado.

O fornecedor recomenda atualizar para a versão corrigida de ALEOS correspondente ao produto: LS300, GX400, GX440 e ES440 para 4.4.9; GX450 e ES450 para 4.9.4.p09; MP70, MP70E, RV50, RV50X, LX40 e LX60 para 4.12. Essas versões corrigem também outras falhas relacionadas divulgadas no mesmo lote (CVE-2018-4061, -4062, -4065, -4066, -4067, -4069), então a atualização deve ser tratada como pacote único, não apenas para esta CVE.

Se a atualização não for viável, a CISA nota que produtos como o ES450 podem estar em fim de vida/fim de suporte (EoL/EoS) — nesse caso a recomendação institucional é descontinuar o uso do equipamento, não apenas mitigar. Como controle compensatório real: restringir o acesso ao ACEManager exclusivamente a uma rede de gerência isolada (nunca exposto à internet ou à WAN celular), usar HTTPS em vez de HTTP para a interface, impor senha forte em todas as contas (inclusive na conta AAF, se habilitada) e desabilitar Telnet/SSH quando não usados.

Um WAF não é mitigação eficaz aqui — o ACEManager é um servidor web embarcado no firmware do dispositivo, sem camada de proxy típica na frente, e a falha está no processamento interno do upload, não em um padrão de requisição facilmente bloqueável sem also quebrar a funcionalidade legítima de upload de templates.

O advisory ICS-CERT cita regras Snort SID 48600, 48635 e 486xx (a lista completa não estava disponível na fonte consultada) para detectar tentativas de exploração desta e das falhas relacionadas do mesmo lote — vale checar o conjunto completo direto no Snort.org ou Firepower Management Center. Em log de acesso ao ACEManager, procurar POST para /cgi-bin/upload.cgi cujo campo save-as-filename ou file-location referencie nomes como fw_upload_init.cgi, fw_status.cgi, fw_expected_rm.cgi, fw_upload_init.sh ou rm_switching_action.cgi, seguido de GET ao mesmo caminho pouco depois — esse padrão de POST+GET imediato ao mesmo arquivo executável é o sinal mais confiável. Como a exploração documentada em campo (cluster Chaya_005 mapeado pela Forescout) ocorre via varredura automatizada contra qualquer IP exposto, presença de tentativas não implica necessariamente sucesso — confirmar via checagem de integridade dos arquivos executáveis no diretório de templates do dispositivo.