Ngày 14 tháng 1 năm 2023Ravie Lakshmanan Bảo mật mạng / Báo cáo lỗi
Cisco đã cảnh báo về hai lỗ hổng bảo mật ảnh hưởng đến các bộ định tuyến RV016, RV042, RV042G và RV082 dành cho doanh nghiệp nhỏ đã hết hạn sử dụng (EoL) mà hãng cho biết sẽ không được khắc phục, ngay cả khi hãng thừa nhận tính khả dụng công khai của bằng chứng về khái niệm (PoC). ) khai thác.
Các vấn đề bắt nguồn từ giao diện quản lý dựa trên web của bộ định tuyến, cho phép kẻ tấn công từ xa bỏ qua xác thực hoặc thực thi các lệnh độc hại trên hệ điều hành bên dưới.
Nghiêm trọng nhất trong số hai là CVE-2023-20025 (điểm CVSS: 9,0), là kết quả của việc xác thực đầu vào của người dùng không đúng cách trong các gói HTTP đến.
Kẻ đe dọa có thể khai thác nó từ xa bằng cách gửi một yêu cầu HTTP được chế tạo đặc biệt tới giao diện quản lý dựa trên web của bộ định tuyến dễ bị tổn thương để bỏ qua xác thực và có được quyền nâng cao.
Việc thiếu xác thực đầy đủ cũng là lý do đằng sau lỗ hổng thứ hai được theo dõi là CVE-2023-20026 (điểm CVSS: 6,5), cho phép kẻ tấn công có thông tin xác thực quản trị viên hợp lệ đạt được các đặc quyền cấp gốc và truy cập dữ liệu trái phép.
“Cisco đã không phát hành và sẽ không phát hành các bản cập nhật phần mềm để giải quyết các lỗ hổng,” công ty cho biết. “Bộ định tuyến RV016, RV042, RV042G và RV082 của Cisco dành cho doanh nghiệp nhỏ đã bước vào quá trình ngừng sử dụng.”
Để có giải pháp thay thế, các quản trị viên nên tắt tính năng quản lý từ xa và chặn quyền truy cập vào các cổng 443 và 60443. Điều đó nói rằng, Cisco đang cảnh báo người dùng “xác định khả năng ứng dụng và hiệu quả [of the mitigation] trong môi trường riêng của họ và trong điều kiện sử dụng của riêng họ.”
Hou Liuyang của Qihoo 360 Netlab đã được ghi nhận là người đã phát hiện và báo cáo các lỗ hổng cho Cisco.
Chuyên gia thiết bị mạng lưu ý thêm rằng mặc dù họ biết về mã PoC trong thực tế, nhưng họ nói rằng họ không quan sát thấy bất kỳ hành vi sử dụng lỗ hổng ác ý nào trong các cuộc tấn công trong thế giới thực.
