CVE-2021-27561 – SSRF em Yealink Device Management
A vulnerabilidade SSRF no Yealink Device Management permite execução remota de código sem autenticação. O CVSS 3.1 classifica o risco como crítico (9.8) e o EPSS indica 82.9% de chance de exploração nos próximos 30 dias. A CISA confirmou exploração ativa e exige atualização imediata. O impacto afeta confidencialidade, integridade e disponibilidade. A prioridade de mitigação é alta.
Dados confirmados por NVD, EPSS e inclusão no catálogo CISA KEV com exploração ativa, indicando alta confiabilidade das informações.
O que aconteceu
Um SSRF em Yealink Device Management permite que um atacante envie requisições HTTP arbitrárias a partir do servidor, contornando controles de rede e executando comandos arbitrários (CWE-78). O vetor CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) indica ataque via rede, baixa complexidade, sem necessidade de privilégios ou interação do usuário. O EPSS de 82.9% reflete alta probabilidade de exploração prática nos próximos 30 dias.
Por que isso importa
A exploração pode comprometer totalmente o servidor de gerenciamento, permitindo roubo de credenciais, modificação de configurações e interrupção de serviços críticos. O comprometimento afeta todos os setores que utilizam o produto, pois a vulnerabilidade impacta confidencialidade, integridade e disponibilidade simultaneamente.
Quem está em risco
Organizações que utilizam Yealink Device Management, independentemente de setor ou região, em ambientes on‑premises ou cloud.
Detalhes técnicos
Vetor de ataque: NETWORK; Complexidade: LOW; Privilégios: NONE; Interação do usuário: NONE. Exploração via SSRF (MITRE ATT&CK T1190 – Exploit Public-Facing Application) que leva à execução de comandos (T1059 – Command Execution). CWE‑78 (Command Injection) está associado. Não há IOCs estruturados na fonte.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Aplicar as atualizações fornecidas pelo vendor conforme instruções nos advisories (https://ssd-disclosure.com/?p=4688) – prazo já expirado, executar imediatamente.
- 2
Restringir o acesso de rede ao servidor Yealink Device Management, permitindo apenas IPs e portas necessários.
- 3
Implementar validação estrita de URLs de entrada e bloquear requisições para destinos internos não autorizados.
Sugestões de detecção
- ›
Consultar logs de firewall ou proxy para conexões outbound do servidor Yealink a destinos internos incomuns (ex.: IPs privados, portas 80/443).
- ›
No SIEM, criar regra que detecte requisições HTTP do processo Yealink Device Management contendo cabeçalhos Host inesperados ou URLs externas.
- ›
Monitorar eventos de criação de processos (Windows Event ID 4688 ou Linux auditd execve) iniciados pelo serviço Yealink que invoquem binários de shell.
Falsos positivos
Sem IOCs específicos; requisições legítimas a serviços internos podem gerar alertas semelhantes. Ajuste listas de permissões para reduzir ruído.