This post is also available in: Português
A vulnerabilidade CVE-2018-0171, identificada em 2018, voltou ao centro das atenções após ser confirmada como vetor de ataque em uma campanha de ciberespionagem atribuída ao grupo Salt Typhoon. A falha afeta o Cisco IOS e IOS XE Smart Install, permitindo execução remota de código (RCE) e negação de serviço (DoS) em dispositivos de rede.
Sete anos após sua divulgação, a exploração ativa desse bug expõe a gravidade da falta de atualização em ambientes críticos, sobretudo em infraestruturas de telecomunicações.
Entendendo a vulnerabilidade
O Smart Install foi desenvolvido pela Cisco como uma funcionalidade para simplificar a configuração de switches, porém se tornou um alvo recorrente de exploração. A CVE-2018-0171 decorre de um erro de validação de entrada (CWE-20) combinado com falhas de gerenciamento de memória (CWE-787), permitindo que um invasor remoto envie pacotes manipulados para executar código arbitrário ou causar falhas no equipamento.
A vulnerabilidade recebeu pontuação CVSS 9.8, sendo classificada como crítica. Isso significa que a exploração pode ocorrer sem autenticação e de forma relativamente simples, ampliando a superfície de ataque em redes corporativas e governamentais.
Produtos afetados e impacto
Os dispositivos impactados incluem switches e roteadores que utilizam Cisco IOS e Cisco IOS XE com o recurso Smart Install ativado. Esses equipamentos são amplamente utilizados em setores estratégicos, como telecomunicações, provedores de serviços e grandes corporações, o que explica o interesse de grupos de ameaça em explorá-los.
A exploração bem-sucedida da falha pode resultar em:
- Execução de código malicioso no dispositivo, comprometendo a integridade da rede;
- Negação de serviço, causando interrupções e indisponibilidade;
- Movimento lateral, permitindo que atacantes alcancem outros ativos sensíveis.
Exploração após sete anos
Em agosto de 2025, a Cisco e agências de segurança confirmaram que o grupo Salt Typhoon, também conhecido como Static Tundra, utilizou a vulnerabilidade CVE-2018-0171 em ataques direcionados contra redes de telecomunicações nos Estados Unidos.
A exploração tardia dessa falha reforça o risco de deixar dispositivos legados expostos sem aplicar correções.
A Cisco, por sua vez, já havia disponibilizado atualizações de segurança e recomendações desde 2018, destacando que a mitigação envolve tanto o patching imediato quanto a desativação do recurso Smart Install em ambientes onde ele não é essencial.
Mitigações e recomendações
Para reduzir o risco de exploração da CVE-2018-0171, a Cisco e órgãos como a CISA reforçam as seguintes práticas:
- Aplicar imediatamente as atualizações de software disponibilizadas pela Cisco, eliminando a vulnerabilidade;
- Desabilitar o Smart Install em equipamentos onde o recurso não seja necessário para a operação;
- Segmentar a rede e limitar o acesso aos dispositivos, minimizando a exposição a atores maliciosos;
- Monitorar logs e tráfego suspeito, buscando indícios de exploração ou movimentação lateral.
Organizações que ainda utilizam equipamentos antigos sem suporte devem considerar um plano de substituição para evitar riscos associados a falhas sem correção. Mais do que uma medida técnica, trata-se de uma estratégia essencial de resiliência cibernética, já que a exploração dessa vulnerabilidade sete anos após sua descoberta evidencia que falhas não corrigidas continuam sendo porta de entrada para ataques direcionados.
This post is also available in: Português
