CVE-2018-6961

Falha de command injection não autenticada no componente de interface web local (local web UI) do VMware NSX SD-WAN Edge by VeloCloud, explorável via endpoint de diagnósticos de rede (ping/traceroute/DNS). É crítica onde essa interface está habilitada e acessível: permite execução de comando arbitrário no dispositivo sem credenciais. O próprio fornecedor descreve o componente como desabilitado por padrão e recomenda não expô-lo a redes não confiáveis, o que reduz a superfície real de exposição apesar da gravidade técnica alta.

A vulnerabilidade é uma injeção de comando OS (CWE-78) no endpoint de diagnóstico do painel administrativo local do Edge, acessado via /scripts/ajaxPortal.lua com o parâmetro _cmd=run_diagnostic. Esse endpoint aceita parâmetros como destination (para ping/traceroute) ou name (para consulta DNS) que são concatenados a um comando de shell no sistema operacional embarcado (uma distribuição Linux reduzida) sem sanitização adequada. Um atacante controla o conteúdo desses campos e pode inserir subshells (sintaxe $(...)) que o processo de diagnóstico executa com os privilégios do serviço web.

O vetor documentado publicamente é uma requisição HTTP POST direta ao endpoint /scripts/ajaxPortal.lua com o campo auth_token vazio, ou seja, sem autenticação prévia — a exploração pública (PoC no Exploit-DB) demonstra o token de autenticação deixado em branco e o ataque funcionando mesmo assim, o que caracteriza acesso remoto não autenticado (PR:N, UI:N no vetor CVSS). A pré-condição real, e a informação mais relevante da página, é que essa interface de administração local precisa estar habilitada e alcançável pela rede do atacante — por padrão o serviço está desligado, segundo o fornecedor. Isso explica o AC:H (alta complexidade) no vetor CVSS: o atacante depende de uma condição de configuração fora do padrão, não de engenharia técnica complexa na exploração em si, que é trivial uma vez atendida essa condição. Uma vez explorada, a injeção permite execução de comandos arbitrários no dispositivo Edge, com impacto total de confidencialidade, integridade e disponibilidade — a PoC pública demonstra exfiltração de /etc/shadow via netcat reverso a partir do próprio comando injetado. A CVE está no catálogo KEV da CISA, confirmando exploração ativa observada, e possui template Nuclei e exploit público desde 2018, o que facilita varredura automatizada contra instâncias expostas.

A descrição oficial indica correção a partir da versão 3.1.0. O PoC público, testado contra a versão 3.1.1, tem seu título referenciando correção em 3.1.2 — há divergência entre a versão de correção citada na descrição oficial da CVE e a versão testada/citada pelo autor do exploit; não foi possível confirmar o número exato de build corrigido porque o texto integral do advisory VMSA-2018-0011 não estava acessível no momento da pesquisa (a URL redireciona para um portal de suporte da Broadcom sem exibir o conteúdo). Recomenda-se consultar diretamente o advisory atualizado do fornecedor para confirmar a versão de build exata antes de declarar o ambiente corrigido.

Procurar em logs de acesso web do Edge requisições POST para /scripts/ajaxPortal.lua contendo o parâmetro _cmd=run_diagnostic combinado com caracteres de metacaractere de shell nos campos destination ou name (subshells com $(...), pipes |, encadeamento com &&, redirecionamentos para nc/netcat). A resposta da aplicação contendo a string 'UNKNOWN_COMMAND' indica tentativa falha; ausência dessa string com resposta bem-sucedida sugere execução do comando injetado. Não há assinatura única confiável além desse padrão de payload — ambientes que nunca habilitaram a interface web local não deixam rastro algum porque o vetor de ataque simplesmente não está acessível.