CVE-2021-22681

O Studio 5000 Logix Designer (e o antigo RSLogix 5000) usa uma chave para autenticar a comunicação entre o software de programação e uma extensa família de controladores Logix da Rockwell Automation. Essa chave pode ser descoberta e reutilizada por um atacante não autenticado, que passa a se apresentar como uma ferramenta legítima diante do controlador. O impacto é direto em ambientes de chão de fábrica: alteração de lógica de controle e configuração de equipamentos industriais, por isso está no catálogo KEV da CISA.

A falha é classificada como CWE-522 (Insufficiently Protected Credentials). O mecanismo de verificação entre o software de engenharia (Studio 5000 Logix Designer / RSLogix 5000) e os controladores Logix depende de uma chave fixa embutida no protocolo de comunicação, não de um esquema de autenticação criptográfico robusto por sessão. Essa chave pode ser extraída ou replicada, o que permite a qualquer parte que a conheça se passar pelo software oficial da Rockwell diante do controlador.

O atacante não precisa de credenciais de usuário nem de privilégios prévios no controlador — ele precisa apenas alcançar a rede onde o dispositivo fala o protocolo industrial (CIP/EtherNet-IP, tipicamente TCP 44818) e possuir a chave, que segundo os pesquisadores que descobriram a falha (Claroty, Kaspersky, e o laboratório da Soonchunhyang University) é obtida por engenharia reversa do software ou do tráfego, não por um segredo protegido por hardware.

A divergência de CVSS entre a fonte (9.8, escopo Unchanged) e o advisory da CISA (10.0, escopo Changed) reflete que o impacto extrapola o software de gestão: comprometer a verificação afeta diretamente o controlador físico, que é um componente separado do sistema vulnerável original — daí o Scope:Changed no cálculo do fornecedor.

A Rockwell foi explícita: a falha é estrutural ao protocolo de verificação usado nessas famílias de controlador e não pode ser corrigida por patch de software convencional nas versões listadas.

O vetor é rede: qualquer atacante com acesso à rede industrial onde o controlador expõe a porta CIP (TCP 44818) e que tenha obtido a chave de verificação pode se autenticar como se fosse o Studio 5000 Logix Designer legítimo. Não há necessidade de interação do usuário, nem de conta ou permissão prévia no sistema — por isso PR:N e UI:N no vetor CVSS. A complexidade de exploração é considerada baixa pela CISA ('low skill level to exploit'), já que o obstáculo técnico está em obter a chave, não em uma cadeia de exploração sofisticada.

Uma vez autenticado com sucesso, o atacante pode operar como uma ferramenta de engenharia não autorizada frente ao controlador: alterar a lógica de programação (código de aplicação) e a configuração do dispositivo. Em ambientes industriais isso se traduz em risco de manipulação de processo físico — motores, válvulas, sistemas de segurança —, não apenas em vazamento de dados.

A CVE está no catálogo KEV da CISA, o que indica exploração confirmada em algum contexto observado pela agência; a nota da CISA classifica como 'desconhecido' se a falha foi usada em campanhas de ransomware especificamente. O pré-requisito prático mais relevante para a maioria dos ambientes é a exposição de rede: controladores segmentados corretamente, sem a porta 44818 acessível fora da zona de controle industrial, reduzem drasticamente a superfície de ataque real, independentemente do CVSS alto.

Não existe patch de software que corrija esta vulnerabilidade — a própria Rockwell Automation declarou isso no advisory. A mitigação recomendada é arquitetural: implantar CIP Security (extensão do padrão EtherNet/IP que adiciona comunicação TLS/DTLS autenticada) nos dispositivos que suportam o recurso, o que substitui a verificação baseada na chave vulnerável por certificados ou chaves pré-compartilhadas gerenciadas pelo usuário. Isso exige hardware/firmware com suporte a CIP Security (por exemplo, módulos EtherNet/IP como o 1756-EN4TR citados no advisory para a família ControlLogix) e tem custo real de implantação: gestão de certificados/PSK e possível substituição de módulos de comunicação.

Como controle compensatório, a Rockwell recomenda segmentação de rede rígida: isolar a rede de controle da rede corporativa, colocar os dispositivos atrás de firewall, garantir que não estejam acessíveis pela Internet, e bloquear/restringir tráfego TCP 44818 vindo de fora da zona da rede industrial. Acesso remoto, quando necessário, deve passar por VPN — mas o advisory ressalta que a VPN só é tão segura quanto os dispositivos conectados a ela, não é mitigação por si só.

Para alguns modelos específicos (ControlLogix 5580/5570 em certas versões de firmware), a Rockwell recomenda também colocar a chave seletora do controlador em modo 'Run', que impede alterações remotas de programação independentemente da falha de verificação — mitigação física, não criptográfica. Segmentação de rede sozinha não elimina o risco de um atacante que já tenha pé na rede OT; CIP Security é a única mitigação que ataca a causa raiz (a verificação insegura em si).

O advisory da Rockwell/CISA não define assinatura ou indicador de comprometimento específico para esta falha. Como sinal geral, monitorar tentativas de conexão CIP/EtherNet-IP (TCP 44818) originadas de hosts ou redes que não deveriam se comunicar com controladores Logix — especialmente conexões de ferramentas de engenharia não reconhecidas ou fora do IP/segmento do posto de engenharia oficial — pode indicar tentativa de abuso da falha de verificação. Não há assinatura de payload conhecida publicamente; a detecção depende de inventário de ativos OT e de baseline de tráfego industrial, não de regras de IDS específicas para esta CVE.