Resumo
A CISA adicionou a vulnerabilidade CVE‑2018‑4063, que afeta o sistema operacional ALEOS dos roteadores Sierra Wireless AirLink, ao seu catálogo de Known Exploited Vulnerabilities (KEV) após evidências de exploração ativa.
Descoberta e escopo / O que mudou agora
O item entrou no catálogo KEV porque há indícios de exploração em ambiente real. A falha é descrita como "Unrestricted Upload of File with Dangerous Type" (CWE‑434) e permite que um atacante autenticado envie ficheiros maliciosos ao servidor web do equipamento.
Vetor e exploração / Mitigações
Pesquisadores indicam que um atacante, ao enviar requisição HTTP especialmente construída ao servidor web do dispositivo, pode carregar arquivos perigosos que, por sua vez, permitem execução remota de código (RCE) no servidor web do roteador. Embora a exploração requeira autenticação, observou‑se que a combinação com credenciais fracas ou padrões de fábrica facilita o acesso inicial.
Medidas recomendadas pela CISA e pela reportagem:
- Remover os dispositivos afetados de redes críticas quando não houver suporte (EoL/EoS), pois o fabricante pode não fornecer atualizações.
- Substituir equipamentos AirLink EoL/EoS; para órgãos federais, a diretiva BOD 22‑01 impõe prazos para remoção de ativos vulneráveis.
- Isolar e monitorar dispositivos legado, garantir credenciais fortes e restringir acesso administrativo por rede.
Impacto e alcance / Setores afetados
A falha é especialmente relevante para organizações que ainda usam hardware AirLink cuja manutenção foi encerrada (End‑of‑Life / End‑of‑Service). A capacidade de obter RCE em um roteador cria risco de persistência e de movimentação lateral dentro da rede, o que pode comprometer infraestruturas industriais, pontos de acesso remoto e links críticos de dispositivos IoT gerenciados por roteadores Sierra Wireless.
Limites das informações / O que falta saber
A reportagem nota que alguns produtos afetados podem estar em estado EoL/EoS, limitando as opções de correção via patch do fornecedor. Não há na matéria números públicos sobre dispositivos afetados nem exemplos documentados de incidentes específicos além da motivação para inclusão no catálogo KEV.
Repercussão / Próximos passos / Conformidade
Agências federais e empresas privadas foram instadas a agir imediatamente: remover equipamentos vulneráveis, aplicar compensações de rede e revisar inventário de dispositivos. Para ambientes regulados, a inclusão no KEV geralmente acelera ações corretivas obrigatórias. Onde a substituição imediata não for possível, aplicar controles de rede e credenciais fortes é a recomendação prática citada.
Referência técnica
Fonte principal: Cyber Security News (reportagem sobre inclusão de CVE‑2018‑4063 no catálogo KEV). Produto afetado citado: Sierra Wireless AirLink ALEOS.