Cisco предупреди за две уязвимости в сигурността, засягащи излезлите от употреба рутери Small Business RV016, RV042, RV042G и RV082, които според компанията няма да бъдат отстранени, въпреки че призна публичната наличност на доказателство за концепцията (PoC).
Проблемите се коренят в уеб-базирания интерфейс за управление на маршрутизатора, което позволява на отдалечен противник да заобиколи удостоверяването или да изпълни злонамерени команди в основната операционна система.
Най-сериозният от двата проблема е CVE-2023-20025 (CVSS оценка: 9,0), който е резултат от неправилно валидиране на потребителския вход във входящите HTTP пакети.
Хакер може да се възползва от него отдалечено, като изпрати специално създадена HTTP заявка към уеббазирания интерфейс за управление на уязвимите рутери, за да заобиколи удостоверяването и да получи повишени разрешения.
Липсата на адекватно валидиране е причина и за втория недостатък, проследен като CVE-2023-20026 (CVSS оценка: 6,5), който позволява на атакуващ с валидни администраторски данни да получи права на ниво root и достъп до неоторизирани данни.
„Cisco не е пуснала и няма да пусне софтуерни актуализации за отстраняване на уязвимостите“, заявиха от компанията. „Маршрутизаторите Cisco Small Business RV016, RV042, RV042G и RV082 са влезли в процес на извеждане от експлоатация.“
Като обходни мерки на администраторите се препоръчва да деактивират отдалеченото управление и да блокират достъпа до портове 443 и 60443. При това Cisco предупреждава потребителите да „определят приложимостта и ефективността [на смекчаването] в собствената си среда и при собствените си условия на използване“.
Хоу Лиуян от Qihoo 360 Netlab има заслуга за откриването и съобщаването на недостатъците на Cisco.
Големият производител на мрежово оборудване отбеляза още, че макар да е наясно с PoC кода, заяви, че не е наблюдавал злонамерено използване на уязвимостите при реални атаки.
