Cisco Small Business RV Series Routers Vulnerabilities

Buffer overflow baseado em pilha no serviço SSL VPN dos roteadores Cisco RV340, RV340W, RV345 e RV345P (série Small Business RV), que permite execução remota de código como root sem autenticação. É a mais grave de um pacote de 15 CVEs divulgadas no mesmo advisory da Cisco em fevereiro de 2022, está no catálogo KEV da CISA com exploração confirmada e tem PoC pública e módulo Metasploit — ou seja, não é uma nota CVSS 10 inflada, é crítica na prática.

A falha (CWE-121, buffer overflow baseado em pilha, também catalogada como CWE-785 pela CISA) está no módulo SSL VPN do firmware, que expõe um serviço na porta TCP 8443 por padrão. O componente processa requisições HTTP específicas sem validar corretamente o tamanho dos dados fornecidos pelo usuário antes de copiá-los para um buffer de tamanho fixo alocado na pilha. O atacante controla o conteúdo e o tamanho de um campo dentro da requisição HTTP enviada ao gateway SSL VPN, e esse controle é suficiente para sobrescrever endereços de retorno na pilha e desviar o fluxo de execução.

O impacto documentado pela Cisco é execução de código com privilégios de root, o nível mais alto no dispositivo — não há escalonamento intermediário necessário, o processo que trata a SSL VPN já roda com esse privilégio. O vetor CVSS da Cisco usa Scope Changed (S:C), reconhecendo que o componente vulnerável (serviço SSL VPN) e o impacto (controle total do sistema) atingem domínios de segurança diferentes; a Zero Day Initiative, que também atribuiu o CVE (ZDI-22-414, creditado à Flashback Team — Pedro Ribeiro e Radek Domanski), pontuou 9.8 usando Scope Unchanged, uma diferença metodológica normal entre CNAs para a mesma falha.

Essa CVE faz parte de um conjunto maior de vulnerabilidades relacionadas no mesmo advisory (CVE-2022-20700 a 20712, 20749), algumas das quais dependem umas das outras para exploração encadeada — mas a CVE-2022-20699 em si é explorável isoladamente e sem pré-condição de autenticação.

O vetor é rede, sem necessidade de autenticação, sem interação do usuário e com baixa complexidade de ataque (AC:L) — o atacante só precisa alcançar a interface SSL VPN na porta 8443 do dispositivo. Isso restringe o risco real: se o dispositivo não expõe o serviço SSL VPN à internet (ou a uma rede não confiável), a superfície de ataque remota não existe. Muitos roteadores RV340/RV345 usados como gateway de filial, porém, têm essa VPN voltada para a WAN por desenho — é exatamente esse cenário que torna a falha perigosa.

O mecanismo de exploração consiste em enviar uma requisição HTTP malformada ao serviço SSL VPN, cujo processamento copia dados sem checagem de limites para um buffer fixo na pilha, permitindo sequestro do fluxo de execução e execução de código arbitrário como root. Existe PoC pública, módulo Metasploit disponível e a CVE está no catálogo KEV da CISA (adicionada em 03/03/2022, com prazo de correção definido para 17/03/2022), o que confirma exploração ativa em ambiente real, não apenas teórica.

A divulgação seguiu processo coordenado: reportada ao fornecedor em 01/12/2021, com publicação pública em 02/02/2022 (advisory Cisco) e detalhamento técnico da ZDI em 22/02/2022. O intervalo entre disclosure e exploração ativa documentada foi curto, o que reforça a urgência de correção — dispositivos SMB desse tipo têm historicamente ciclo de patch lento.

A Cisco declara explicitamente que não existem workarounds para esta vulnerabilidade — a única correção oficial é atualizar o firmware para uma versão corrigida. Os números exatos de versão fixa por modelo (RV340, RV340W, RV345, RV345P) estão na seção 'Fixed Software' do advisory oficial da Cisco; essa informação não estava disponível no material coletado para esta página, então não deve ser assumida — consulte o advisory diretamente antes de considerar qualquer versão como segura.

Como controle compensatório real (não endossado formalmente pela Cisco como 'workaround', mas reduz superfície de ataque): não expor a interface de gerenciamento web nem o serviço SSL VPN (porta TCP 8443) diretamente à internet; restringir acesso a essas portas por ACL, firewall de borda ou VPN de gestão fora de banda. O custo é perder acesso remoto direto ao VPN gateway até a atualização — aceitável como medida temporária, não como substituto permanente do patch, já que a falha está no próprio serviço que a mitigação visa proteger.

Desativar completamente o serviço SSL VPN elimina o vetor específico desta CVE, mas pode não ser viável se a organização depende dele para acesso remoto — nesse caso a atualização de firmware é inevitável e deve ser tratada com prioridade máxima, dado o registro no KEV.

Não há assinatura de exploração publicamente documentada nas fontes consultadas. Como indício indireto, monitore requisições HTTP anômalas ou de tamanho incomum direcionadas à porta TCP 8443 (endpoint do gateway SSL VPN) e reinicializações inesperadas do serviço VPN ou do dispositivo, que podem indicar tentativas de overflow falhas. A existência de módulo Metasploit público significa que scanners de rede podem gerar tráfego de teste com padrão reconhecível; ambientes com IDS/IPS atualizados podem já ter assinaturas específicas para esta CVE, mas isso não foi confirmado nas fontes usadas aqui.