Cisco HyperFlex HX Command Injection Vulnerabilities

Falha de command injection não autenticada na interface web da VM instaladora do Cisco HyperFlex HX (não no HX Data Platform em produção), que permite executar comandos arbitrários como root apenas enviando uma requisição HTTP manipulada. Está no catálogo KEV da CISA com exploração confirmada em novembro de 2021, tem módulo Metasploit e PoC pública — é do tipo de CVE onde o CVSS 9.8 reflete corretamente o risco, porque não exige autenticação nem configuração especial.

A vulnerabilidade (CWE-78, OS Command Injection) está na interface de gerenciamento web da HyperFlex HX Installer Virtual Machine — a VM usada para orquestrar o bootstrap/instalação de um cluster HyperFlex, distinta do software HX Data Platform que roda depois do cluster montado. O advisory da Cisco atribui a causa a 'insufficient validation of user-supplied input': algum campo recebido pela interface web é passado, sem sanitização adequada, para um comando executado no sistema operacional subjacente. A Cisco não detalhou publicamente qual endpoint ou parâmetro específico é o vetor.

Uma exploração bem-sucedida entrega execução de comando como usuário root no host que roda a VM instaladora — comprometimento total do componente. É importante notar que esta é uma CVE distinta, ainda que relacionada, da CVE-2021-1498 (mesmo advisory, CSCvx37435): a -1498 afeta o HX Data Platform em si e concede execução apenas como usuário tomcat8, com CVSS 7.3 — impacto bem menor. As duas falhas não dependem uma da outra e podem ou não coexistir na mesma versão.

A superfície de ataque relevante é a VM instaladora, que normalmente só existe/roda durante o processo de deployment ou upgrade do cluster — não é necessariamente um componente exposto permanentemente em produção, o que muda o cálculo de exposição real em relação ao CVSS puro.

O vetor é uma requisição HTTP crafted enviada à interface web de gerenciamento da installer VM, sem necessidade de autenticação (PR:N) nem interação do usuário (UI:N), e com complexidade de ataque baixa (AC:L) — qualquer atacante com acesso de rede ao endpoint alcança execução de comando. Existe módulo Metasploit e template Nuclei públicos, o que reduz drasticamente a barreira técnica para exploração em massa via scanning.

A Cisco confirmou, em atualização do advisory de novembro de 2021, ter tomado conhecimento de tentativas adicionais de exploração ativa contra esta CVE 'in the wild' — o que motivou a inclusão no catálogo KEV da CISA em 2021-11-03, com prazo de correção de 2021-11-17. A CISA classifica o uso conhecido em campanhas de ransomware como 'Unknown' (não confirmado).

O pré-requisito prático mais relevante é a exposição da installer VM à rede do atacante: como esse componente costuma existir apenas durante instalação/upgrade do cluster, o risco real depende de a VM estar acessível (rede de gerenciamento, VPN, ou exposta erroneamente à internet) no momento do ataque, não de ela estar presente indefinidamente como um serviço de produção.

A Cisco não publicou nenhum workaround — a única correção real é atualizar o software. Para releases anteriores à linha 4.0, é preciso migrar para 4.0(2e); quem está na linha 4.0, atualizar para 4.0(2e); quem está na linha 4.5, atualizar para 4.5(2a). Não há flag, ACL ou configuração alternativa reconhecida pelo fornecedor que mitigue a falha sem atualizar.

Como controle compensatório até a atualização, o único caminho é restringir estritamente o acesso de rede à interface web da installer VM — isolá-la em uma rede de gerenciamento fora de alcance de qualquer atacante externo ou não confiável, já que ela não deveria estar exposta fora da janela de instalação/upgrade. Isso reduz a superfície mas não corrige a falha; qualquer host com alcance de rede à VM continua explorável.

Dado o status KEV com exploração ativa confirmada e a existência de exploit público (Metasploit, Nuclei), tratar este item como prioridade máxima de patch, independentemente de a instância estar em uso 'só durante instalação' — é justamente nesses momentos de deployment que a exposição de rede tende a ser mais permissiva.

A Cisco não publicou indicadores de comprometimento específicos para esta CVE. Em ambientes com a installer VM exposta, vale monitorar logs de acesso à interface web de gerenciamento em busca de requisições anômalas com metacaracteres de shell (';', '|', '&&', backticks) nos parâmetros de formulários de instalação, e correlacionar com execução inesperada de processos como root no host da VM. Como não há assinatura oficial de exploração divulgada pelo fornecedor, a ausência de log de acesso HTTP à installer VM durante o período de exposição é o sinal mais confiável de que não houve tentativa — presença de tráfego incomum à interface fora de janelas de instalação planejadas merece investigação.