Code injection exposure in Fabric OS 9.1.0 through 9.1.1d6

Falha de code injection (CWE-94) no Fabric OS dos switches e diretores Brocade, explorável por um usuário local já autenticado com privilégio admin, permitindo execução de código arbitrário com privilégios de root — algo que a Broadcom removeu deliberadamente a partir da versão 9.1.0. Está no catálogo KEV da CISA com exploração confirmada em campo, mas o pré-requisito de acesso admin válido limita bastante quem realmente está exposto: não é um bug remoto pré-autenticação, é uma escalação de privilégio dentro de um ambiente já comprometido ou operado por insider.

A causa raiz está numa validação incorreta de campo de endereço IP em algum ponto da CLI ou processo de configuração do Fabric OS. Um usuário com um dos papéis admin pré-definidos, ou um papel customizado com privilégios de nível admin, consegue injetar código através desse campo mal validado. O CWE-94 (Improper Control of Generation of Code) indica que a entrada do usuário acaba sendo interpretada/executada como código pelo sistema, em vez de tratada como dado.

O impacto documentado pela Broadcom é amplo: o atacante pode executar qualquer comando existente do Fabric OS como root, ou ir além e modificar o próprio Fabric OS, incluindo adicionar subrotinas próprias — ou seja, persistência no firmware/sistema operacional do switch, não apenas execução pontual de comando.

O contexto importa: a partir da versão 9.1.0 a Broadcom removeu o acesso direto a root que existia em versões anteriores (onde o papel ADMIN já tinha acesso root direto). Essa vulnerabilidade efetivamente reabre esse caminho para quem já tem admin, anulando parte do hardening introduzido em 9.1.0. Não há, nas fontes disponíveis, detalhe de qual comando ou parâmetro específico da CLI aceita o payload — a Broadcom não publicou esse nível de detalhe técnico publicamente.

O vetor exige um usuário local com sessão admin válida (papel admin pré-definido ou papel customizado com privilégios equivalentes) — o CVSS 4.0 classifica isso como AV:A (rede adjacente) e PR:L (privilégio baixo, na escala do CVSS, já que não é root). Não há indicação de exploração pré-autenticação ou sem interação do usuário além de possuir essa conta admin. Isso torna o cenário de risco mais restrito: operadores externos sem acesso administrativo à malha SAN não conseguem explorar diretamente; o risco real recai sobre contas admin comprometidas (credenciais roubadas, insider malicioso, ou movimento lateral pós-comprometimento de outra parte do ambiente que chega a uma conta admin do switch).

A Broadcom afirma explicitamente que a falha 'has been actively exploited in the field', e a CISA confirmou isso ao incluir a CVE no catálogo KEV (adicionada em 28/04/2025, prazo de correção 19/05/2025 para agências federais dos EUA). Nenhuma das fontes lidas detalha o mecanismo exato de exploração, ferramentas usadas, ou se a exploração observada está ligada a campanhas de ransomware — a própria entrada do KEV marca esse campo como 'Unknown'.

O resultado final da exploração, segundo o fornecedor, vai de execução de comandos arbitrários do Fabric OS até modificação do próprio sistema operacional do switch com subrotinas adicionadas pelo atacante — ou seja, persistência de firmware num equipamento de infraestrutura crítica de armazenamento (SAN), com potencial de sobreviver a reinicializações e dificultar detecção por ferramentas convencionais de host.

A correção definitiva é atualizar para o Fabric OS 9.1.1d7, versão em que a Broadcom corrigiu a validação de entrada. Não há informação nas fontes sobre patches para outros ramos (9.0.x, 8.x etc.) porque essas versões não são afetadas por esta CVE especificamente — elas já tinham o modelo antigo de acesso root direto via papel ADMIN, o que é um problema diferente e anterior, não corrigido por esta atualização.

Como controle compensatório, na ausência de atualização imediata, a mitigação real passa por reduzir a superfície de contas com privilégio admin: revisar quem tem papéis admin pré-definidos ou papéis customizados com privilégio equivalente, aplicar princípio de menor privilégio nas contas operacionais da malha SAN, e monitorar/auditar uso de sessões admin. A Broadcom lista 'WorkAround' como característica do advisory, mas o conteúdo lido não especifica qual é o workaround técnico exato — apenas confirma que existe um caminho paliativo documentado pelo fornecedor, que deve ser consultado diretamente na notificação para quem não pode atualizar agora.

Um mito a evitar: achar que estar em qualquer versão 9.1.x mais recente que a inicial já resolve — o problema persiste até 9.1.1d6 inclusive; só a partir de 9.1.1d7 está corrigido. Da mesma forma, não adianta 'reforçar perímetro de rede' como substituto de patch, já que o vetor é AV:A (adjacente) e depende de conta admin já existente, não de exposição externa direta.

As fontes lidas não trazem assinaturas, IOCs ou padrões de log específicos publicados pela Broadcom ou pela CISA para detectar tentativas de exploração desta falha — isso é uma lacuna real da divulgação pública. Na ausência de indicadores oficiais, o controle prático é auditar logs de comandos executados por contas com papel admin no Fabric OS, especialmente em torno de operações de configuração de endereço IP, e monitorar qualquer alteração não planejada em binários, subrotinas ou comportamento do sistema operacional do switch que sugira modificação persistente do Fabric OS.