CVE-2021-32030

Bypass de autenticação (CWE-287) na interface administrativa web dos roteadores ASUS GT-AC2900 e do sistema mesh Lyra Mini, que permite a um atacante não autenticado obter acesso total ao painel de administração enviando um cookie de sessão manipulado. Importa porque o CVSS de 9.8 é realista quando a interface está exposta na WAN — algo que muitos donos de roteador habilitam sem perceber o risco — e porque o Lyra Mini está em fim de vida e não recebe mais correções normais.

O fluxo de autenticação passa por handle_request em router/httpd/httpd.c, que chama auth_check, implementada em um objeto pré-compilado (web_hook.o) — ASUS distribui o código-fonte GPL, mas essa função específica vem apenas como binário, sem fonte. auth_check verifica três coisas: se a requisição tem um cookie asus_token, se esse token existe na lista de sessões ativas, e se ele corresponde a um token de serviço armazenado (usado pelas integrações IFTTT/Alexa).

O bug está na terceira verificação. Quando o dispositivo nunca teve um token IFTTT/Alexa configurado (o estado padrão de fábrica, presente na grande maioria dos roteadores), o valor de referência armazenado internamente é efetivamente um byte nulo ('\0'). Se o atacante envia um asus_token que começa com um byte nulo, a comparação de string trata esse valor como equivalente ao valor padrão vazio do dispositivo, e a requisição é aceita como se viesse de um serviço legítimo autenticado.

Atredis Partners, que descobriu e documentou a falha, demonstrou que a exploração exige também o cabeçalho User-Agent: asusrouter--, usado internamente pelo httpd para identificar chamadas de serviço (hooks do app/IFTTT/Alexa). Combinando esse User-Agent com um cookie asus_token iniciado por \0, o servidor autentica a sessão e devolve dados administrativos completos (ex.: lista de clientes de configuração via appGet.cgi) em vez do erro de autenticação esperado.

O vetor é uma requisição HTTP/HTTPS simples contra a interface administrativa (porta 8443 nos exemplos publicados), sem qualquer credencial válida — o atacante só precisa forjar o header User-Agent e o cookie de sessão com o byte nulo líder. Não há necessidade de interação do usuário nem de engenharia social. A pré-condição real, que a nota do próprio fornecedor deixa clara e que a manchete do CVSS 9.8 esconde, é acesso de rede à interface administrativa: se o recurso de acesso remoto via WAN estiver desabilitado (não é o padrão em todos os modelos, mas é recomendado), a exploração fica restrita a quem já está na LAN.

O resultado da exploração é acesso total ao painel de administração do roteador — leitura de configurações, lista de clientes conectados, e potencialmente alteração de DNS, port forwarding, credenciais Wi-Fi e outras configurações que dão controle persistente sobre toda a rede atrás do dispositivo.

A CISA incluiu a CVE no catálogo KEV em junho de 2025, quatro anos após a publicação original de 2021, o que indica evidência de exploração ativa identificada tardiamente — coerente com o padrão de botnets IoT que varrem a internet por essa classe de roteador doméstico exposto na WAN. Existe template Nuclei público para varredura automatizada da falha, o que facilita tanto testes de pentest quanto descoberta em massa por atacantes.

Para o GT-AC2900, o fornecedor corrigiu a partir da versão 3.0.0.4.386.42643 — atualizar o firmware via HelpDesk oficial resolve a falha. Para o Lyra Mini, a correção está na versão 3.0.0.4.384.46630 (disponibilizada em 2021/05/14); segundo a própria página de suporte da ASUS, o Lyra Mini está em fim de vida (EOL) e não receberá mais atualizações além dessa — qualquer versão anterior, incluindo todas as versões EOL mais antigas, permanece vulnerável e sem caminho de patch adicional.

Quando a atualização não é possível (dispositivos EOL, ou ambientes que não conseguem atualizar imediatamente), a mitigação real recomendada pelo próprio fornecedor é desabilitar o recurso de acesso remoto pela WAN na interface administrativa — isso reduz a superfície de ataque a quem já tem acesso à rede local, mas não elimina o risco de um atacante já presente na LAN ou de malware que já esteja dentro da rede. A CISA recomenda, para dispositivos sem mitigação disponível, descontinuar o uso do produto.

Não existe mitigação eficaz via WAF ou proxy reverso genérico, porque o bypass depende de detalhes de implementação do próprio parser de sessão do httpd embarcado — filtrar cookies com bytes nulos na borda pode ajudar como controle compensatório, mas não é uma correção validada pelo fornecedor e não cobre variações do payload.

Os exemplos publicados por Atredis mostram o padrão de exploração: requisições à interface administrativa (endpoints como appGet.cgi) com header User-Agent: asusrouter-- e cookie asus_token contendo um byte nulo no início, vindas de origem que não corresponde às chamadas legítimas de integração IFTTT/Alexa. Esse é o único sinal documentado de tentativa de exploração.

Na prática, a maioria desses roteadores domésticos não mantém logs de acesso HTTP persistentes nem exportáveis, e o tráfego roda sobre HTTPS na porta administrativa, o que torna a inspeção externa (IDS de borda, proxy) inviável sem acesso direto ao dispositivo ou descriptografia do TLS. Não há um indicador de rede confiável e amplamente monitorável para detectar exploração passada sem acesso ao próprio equipamento.