CVE-2016-1555

Falha de command injection não autenticada em cinco páginas PHP (boardData102.php, boardData103.php, boardDataJP.php, boardDataNA.php, boardDataWW.php) usadas por access points Netgear da linha WN/WNAP/WNDAP para configuração de placa/rádio. Qualquer atacante com acesso à interface de gerenciamento HTTP do dispositivo — sem login — pode executar comandos arbitrários com privilégios de root no firmware Linux embarcado. O CVSS 9.8 é justificado: não há pré-condição de autenticação nem de rede especial além de alcançar a porta HTTP do AP.

A falha é CWE-77 (neutralização inadequada de elementos especiais usados em comando). As páginas boardData*.php recebem, via POST, campos de formulário — entre eles um campo de endereço MAC (macAddress) — e passam esse valor diretamente para uma chamada de shell no backend do firmware, sem sanitização de metacaracteres como ponto-e-vírgula. O módulo Metasploit público mostra exatamente esse mecanismo: o payload POST envia vars_post com 'macAddress' => ";;", explorando o fato de que o valor do campo é concatenado em uma linha de comando executada pelo sistema.

A vulnerabilidade foi descoberta pelo framework acadêmico FIRMADYNE (emulação e análise dinâmica de firmwares Linux embarcados), da CMU, junto com outras quatro CVEs relacionadas em dispositivos Netgear e D-Link divulgadas na mesma thread da Full Disclosure (fevereiro de 2016) — entre elas CVE-2016-1556 (exposição do PIN WPS) e CVE-2016-1557 (exposição de credenciais via SNMP), que são falhas distintas nos mesmos produtos e não devem ser confundidas com esta.

As cinco páginas afetadas aparentam ser variantes regionais/de modelo da mesma funcionalidade de configuração de placa de rádio (boardData + código de região: 102, 103, JP, NA, WW), o que explica a repetição do mesmo padrão de injeção em múltiplos endpoints.

O vetor é uma requisição HTTP POST para qualquer uma das páginas boardData*.php (o exploit público usa /boardDataWW.php como padrão), sem necessidade de sessão autenticada nem de conhecimento de usuário/senha do dispositivo. O atacante só precisa alcançar a interface web de administração do access point na rede — em muitos ambientes essa interface fica exposta na LAN de gestão ou, em configurações descuidadas, diretamente na internet.

O módulo Metasploit associado (Netgear Devices Unauthenticated Remote Command Execution, classificado como Rank 'Excellent') automatiza a verificação e a exploração: primeiro envia um comando echo com uma string aleatória para confirmar que o valor retorna refletido na resposta HTML (confirmando a injeção), depois usa a técnica de CmdStager (via wget/echo/printf) para baixar e executar um payload reverse shell compilado para arquitetura MIPS big-endian (linux/mipsbe/shell_reverse_tcp), típica dos APs Netgear afetados. O módulo indica explicitamente 'Privileged' => true, ou seja, o comando é executado com privilégios elevados no sistema operacional embarcado.

A exploração é trivial e de baixa complexidade — não exige engenharia social, race condition nem bypass adicional. Está no catálogo KEV da CISA (adicionada em 2022-03-25) como vulnerabilidade com exploração confirmada em ambiente real, apesar de a publicação formal no NVD ter ocorrido só em 2017, mais de um ano após a divulgação original em 2016.

O fornecedor recomenda atualizar o firmware: WN604 para versão 3.3.3 ou posterior; WN802Tv2, WNAP210v2, WNAP320, WNDAP350, WNDAP360 e WNDAP660 para versão 3.5.5.0 ou posterior. Essas são as únicas versões que o Netgear KB confirma como corrigidas — não há menção de patch para outros modelos citados em análises de terceiros além dessa lista oficial.

Se a atualização não for possível de imediato, o controle compensatório real é isolar a interface de gerenciamento HTTP do AP: restringir acesso à VLAN de gestão, bloquear a porta de administração no firewall para qualquer origem que não seja a estação de gestão, e nunca expor essa interface à internet. Como a falha não exige autenticação, um firewall de aplicação (WAF) genérico não é solução confiável quando o tráfego já chega à interface administrativa do próprio dispositivo embarcado — o controle efetivo é de rede (segmentação/ACL), não de aplicação.

Esses equipamentos estão no fim de vida útil (End-of-Life) para vários modelos da lista; se o fabricante não fornece mais atualização para um modelo específico e a substituição do hardware não é viável no curto prazo, a segmentação de rede completa (isolamento total da interface de administração, sem qualquer acesso remoto) é o único paliativo efetivo — não existe mitigação por configuração dentro do próprio firmware vulnerável.

Em logs de servidor web do dispositivo ou em captura de tráfego, procurar requisições POST para /boardData102.php, /boardData103.php, /boardDataJP.php, /boardDataNA.php ou /boardDataWW.php contendo no corpo o campo macAddress com caracteres de metacomando de shell (ponto-e-vírgula, pipe, backtick, cifrão) em vez de um endereço MAC válido — o exploit público usa o padrão ';;'. Assinaturas de IDS/IPS ou regras Nuclei/Metasploit específicas para CVE-2016-1555 detectam esse padrão de payload.

Como o firmware desses APs normalmente não gera logs de auditoria detalhados de execução de comando no sistema, a ausência de log de acesso à interface web não garante ausência de exploração — se o dispositivo tiver logging HTTP habilitado e retenção histórica, essa é a única fonte confiável de evidência retroativa.