CVE-2023-20273

Falha de injeção de comandos na interface web (Web UI) do Cisco IOS XE que permite a um atacante já autenticado executar comandos no sistema operacional subjacente com privilégios de root. Isoladamente exige autenticação, mas ganhou notoriedade por ser a segunda etapa de uma cadeia de ataque real: combinada com o bypass de autenticação CVE-2023-20198, permitiu a implantação de um backdoor persistente em milhares de dispositivos Cisco IOS XE expostos à internet em outubro de 2023.

A vulnerabilidade está classificada como CWE-78 (OS Command Injection) e reside em outro componente da própria funcionalidade Web UI do IOS XE — distinto do endpoint usado no CVE-2023-20198. Segundo a Cisco, o problema é validação de entrada insuficiente: dados enviados pelo usuário autenticado à Web UI não são adequadamente sanitizados antes de serem processados, permitindo que caracteres ou sequências de shell sejam interpretados como comandos pelo sistema operacional subjacente (que no IOS XE é baseado em Linux).

O vetor de ataque exige acesso com privilégios de usuário local (PR:H no vetor CVSS), mas uma vez autenticado — mesmo com um usuário de nível baixo — o atacante consegue escalar para root através da falha. Isso é o que torna a CVE-2023-20273 crítica em cadeia: ela não é o ponto de entrada, é o mecanismo de elevação de privilégio e persistência.

A Cisco não publicou o Bug ID CSCwh87343 com detalhes de código, e não há CWE mais granular além do CWE-78 e CWE-420 (Falha em Proteger Funcionalidade Alternativa) atribuído ao conjunto de vulnerabilidades cobertas pelo mesmo advisory. Não há detalhamento técnico do fornecedor sobre qual endpoint específico da Web UI carrega a falha de sanitização — a Cisco optou por descrição funcional, não código-fonte ou payload.

Na exploração observada in-the-wild e documentada pela Cisco e pela CISA, a CVE-2023-20273 nunca foi usada isoladamente. O ataque real seguiu duas etapas: primeiro o atacante explorava o CVE-2023-20198 (bypass de autenticação na Web UI, CVSS 10.0) para obter acesso inicial e criar, via comando de privilégio 15, um usuário e senha locais arbitrários. Com esse usuário recém-criado — que tem apenas acesso de nível normal — o atacante então explorava a CVE-2023-20273 para elevar privilégio a root e escrever um implante no sistema de arquivos do dispositivo.

O pré-requisito real da CVE-2023-20273 é ter a Web UI acessível na rede (habilitada via ip http server ou ip http secure-server) e possuir credenciais válidas de algum usuário — que na cadeia de ataque documentada foram obtidas explorando a outra falha, não adivinhadas ou roubadas. Isso significa que, sem a Web UI exposta a redes não confiáveis, ou sem já ter comprometido a autenticação por outro meio, a exploração desta CVE isolada não tem vetor prático.

Há exploração ativa confirmada, catalogada no KEV da CISA, com módulo Metasploit e PoC pública disponíveis. A campanha de outubro de 2023 comprometeu, segundo estimativas de pesquisadores independentes na época, decenas de milhares de dispositivos expostos à internet, com implante persistente que sobrevivia a reinicializações em alguns casos e permitia execução arbitrária de comandos subsequentes.

A Cisco afirma explicitamente que não há workaround que corrija a vulnerabilidade em si — a única solução real é atualizar para uma versão corrigida do IOS XE, cuja lista completa está na seção 'Fixed Software' do advisory oficial e deve ser verificada pelo Cisco Software Checker (não reproduzida aqui por não constar no conteúdo lido; consulte o advisory para a versão exata do seu trem de release).

O paliativo eficaz enquanto não é possível atualizar é desabilitar completamente o recurso HTTP Server com os comandos 'no ip http server' e 'no ip http secure-server' em modo de configuração global — se ambos os comandos (http e https) estiverem em uso, é necessário desabilitar os dois. Isso elimina o vetor de ataque por completo, ao custo de perder a gestão via Web UI. Como controle intermediário, caso a Web UI precise permanecer ativa, restringir o acesso a redes confiáveis via 'ip http access-class' com uma access-list reduz a exposição, mas não elimina o risco de um atacante já dentro da rede confiável.

Não funciona como mitigação apenas trocar senhas ou remover usuários suspeitos sem também aplicar a correção ou desabilitar a Web UI — como a cadeia de ataque cria novos usuários locais e escreve um implante persistente, a limpeza de indicadores sem corrigir a causa raiz permite reinfecção imediata.

A Cisco e o Cisco Talos publicaram indicadores de comprometimento específicos: mensagens de log %SYS-5-CONFIG_P referenciando o processo SEP_webui_wsma_http com usuários desconhecidos (como cisco_tac_admin, cisco_support ou qualquer usuário local não reconhecido pelo administrador), mensagens %SEC_LOGIN-5-WEBLOGIN_SUCCESS com IPs de origem suspeitos, e mensagens %WEBUI-6-INSTALL_OPERATION_INFO referenciando arquivos de instalação não esperados. Um comando curl específico contra o endpoint /webui/logoutconfirm.html com um header de Authorization fixo (documentado pela Cisco Talos) permite verificar remotamente a presença do implante, retornando uma string hexadecimal se o sistema estiver comprometido. Também existem regras Snort da Cisco (IDs 3:50118 para injeção inicial do implante ligada a esta CVE, e 3:62527-62529 para interação com o implante, além de 3:62541-62542 para a exploração de acesso inicial via CVE-2023-20198) que podem ser usadas em sensores de rede para detectar tentativas de exploração da cadeia completa.