CVE-2021-20028

SQL injection pré-autenticação nos appliances SonicWall Secure Remote Access (SRA), todos rodando firmware 8.x e a série 9.0.0.9-26sv ou anterior. A gravidade (CVSS 9.8) é real e agravada por um fator crítico que a manchete não destaca: o produto está em fim de vida (EOL) e não recebe correção — a única resposta do fornecedor e da CISA é desconectar o equipamento, não atualizar.

A falha é classificada como CWE-89 (Improper Neutralization of Special Elements used in an SQL Command). O vetor CVSS (AV:N/AC:L/PR:N/UI:N) indica que a exploração ocorre pela rede, sem necessidade de autenticação prévia, sem interação do usuário e com baixa complexidade — características típicas de uma injeção em algum endpoint web de gerenciamento ou de autenticação exposto pelo appliance SRA.

O advisório do fornecedor não detalha publicamente qual parâmetro ou endpoint específico concentra a falha, e não localizamos análise técnica independente que dissecasse o payload exato. O que se sabe com confiança é o impacto potencial declarado pelo vetor CVSS: comprometimento total de confidencialidade, integridade e disponibilidade (C:H/I:H/A:H), compatível com uma SQLi que permite leitura e escrita arbitrária no banco de dados do appliance, abrindo caminho para extração de credenciais, criação de contas administrativas ou execução de comandos subsequentes.

O ponto mais relevante para quem avalia risco é que o SRA já era um produto legado no momento da divulgação — SonicWall vinha migrando clientes para a linha SMA100 desde antes. Appliances SRA ainda em produção representam, por definição, infraestrutura sem suporte de segurança contínuo.

Como a falha não exige autenticação e é acessível via rede, o único pré-requisito prático é que a interface de gerenciamento/acesso remoto do SRA esteja exposta — o que é a configuração normal desse tipo de appliance (ele existe justamente para prover acesso remoto, geralmente publicado na internet). Não há indicação nas fontes de que seja necessária configuração não padrão para tornar o alvo explorável.

A CVE está no catálogo KEV da CISA, confirmando exploração ativa em campo. A CISA não descreve a técnica de exploração publicamente nem associa a CVE a campanhas de ransomware conhecidas (campo correspondente do catálogo está em branco), mas a mera inclusão no KEV, com prazo de correção definido (18/04/2022), atesta uso real do bug por atacantes, não apenas prova de conceito acadêmica.

O resultado final de uma exploração bem-sucedida, dado o alcance da SQLi documentado no CVSS, é comprometimento do banco de dados do appliance — o que em dispositivos de acesso remoto costuma significar extração de credenciais de VPN/SSL-VPN e, potencialmente, pivô para a rede interna que o SRA foi projetado para proteger.

Não existe atualização de firmware que corrija esta falha nos appliances SRA: o produto é end-of-life e o próprio catálogo KEV da CISA registra a ação recomendada como desconectar o equipamento se ainda estiver em uso, não aplicar patch. Isso é a mitigação central e não deve ser confundida com uma opção entre várias — é a única via oficial.

Se a substituição imediata não for viável, o paliativo real é isolar a interface de gerenciamento/acesso do SRA da internet, restringindo acesso por lista de IPs de confiança ou colocando-a atrás de VPN adicional — reduzindo a exposição, mas sem eliminar o risco, já que qualquer origem com acesso à interface pode explorar a falha sem autenticação. Monitorar credenciais expostas por esses appliances (troca de senhas de VPN, revisão de contas administrativas) é recomendável enquanto o dispositivo permanecer ativo.

Não funciona como mitigação: aplicar apenas atualizações de firmware dentro da própria linha 8.x/9.0.0.9-26sv, pois o fornecedor não indicou correção disponível para essas versões — a orientação é migração para uma linha de produto ainda suportada (a página oficial do fornecedor deve ser consultada para a linha de substituição recomendada, informação que não constava nas fontes analisadas aqui).

As fontes consultadas não trazem assinaturas, padrões de payload ou indicadores de log específicos publicados para esta CVE. De forma geral, tentativas de SQL injection contra interfaces de autenticação/gerenciamento web tendem a aparecer como requisições com caracteres de escape SQL ou payloads anômalos nos logs de acesso HTTP do appliance, mas não há confirmação documentada de um indicador de comprometimento específico para o CVE-2021-20028. Na ausência de sinal confiável e de suporte ativo do fornecedor para o produto, a defesa prática é assumir exposição e agir pela desconexão/substituição do equipamento, em vez de depender de detecção.