CVE-2021-4477: Bypass de Firewall em IPsec sobre IPv6 nos Hirschmann HiLCOS OpenBAT e BAT450
A CVE-2021-4477 descreve um bypass de firewall nos produtos Hirschmann HiLCOS OpenBAT e BAT450 em implantações de IPsec sobre IPv6, permitindo que o tráfego de conexões VPN contorne regras de firewall configuradas. O registro é classificado como crítico, com pontuação CVSS v3.1 de 9.1 atribuída pela VulnCheck, e não consta no catálogo KEV da CISA. O registro não identifica versões afetadas nem versões corrigidas.
Visão geral
A CVE-2021-4477 é um bypass de firewall (CWE-284, Controle de Acesso Inadequado) que afeta os produtos Hirschmann HiLCOS OpenBAT e BAT450. Segundo a descrição do registro, o problema aparece em implantações de IPsec sobre IPv6, nas quais o tráfego de VPN pode evitar regras de firewall configuradas.
Impacto
O registro descreve tráfego que contorna a aplicação da política de firewall. O vetor CVSS v3.1 listado no registro indica vetor de rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto na confidencialidade e na integridade e sem impacto na disponibilidade. A VulnCheck também informa uma pontuação CVSS v4.0 de 9.3.
Produtos e versões afetados
- Produtos citados na descrição: Hirschmann HiLCOS OpenBAT e BAT450.
- O registro não contém intervalos de versões afetadas nem versões corrigidas.
- A vulnerabilidade de uma versão específica de firmware deve ser confirmada junto ao fabricante.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- EPSS do registro: probabilidade 0.00319, percentil 0.23066, com data de 2026-10-13.
Correção e mitigação
- Consulte o boletim do fabricante referenciado no registro e as orientações atuais de firmware desses produtos.
- Se o IPsec sobre IPv6 não for necessário no seu ambiente, desativá-lo ou restringi-lo reduz a exposição.
- Verifique se as políticas de firewall que protegem redes terminadas em VPN também cobrem caminhos IPv6, e não apenas IPv4.
- Limite a exposição IPv6 à Internet de endpoints de gerenciamento e de VPN sempre que possível.
Orientações de detecção
- Revise logs e registros de sessões de túneis IPsec sobre IPv6 em busca de tráfego que alcance segmentos internos que a política deveria restringir.
- Compare os fluxos VPN IPv6 observados com a política de firewall pretendida para identificar lacunas.
- Trate alcançabilidade inesperada a partir de origens IPv6 na Internet em direção a redes protegidas como um sinal para investigação.
Limitações das informações disponíveis
- O registro não possui versões afetadas nem corrigidas e não traz detalhes de correção.
- O boletim de segurança da Belden é referenciado, mas seu conteúdo não foi analisado neste material.
- O ano do identificador CVE (2021) difere da data de publicação (2026-04-03), e a data do EPSS é posterior à publicação; esses valores são apresentados conforme registrados.
- O status do registro é Awaiting Analysis.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O registro não lista a CVE-2021-4477 no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
O registro não informa versões afetadas nem versões corrigidas para HiLCOS OpenBAT ou BAT450. Confirme a aplicabilidade com a Hirschmann ou a Belden.
O que defensores devem fazer agora?
Revise as orientações do fabricante, verifique se o IPsec sobre IPv6 está em uso e confirme que as políticas de firewall também cobrem o tráfego VPN sobre IPv6.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.