El importante equipo de redes Cisco ha implementado parches para abordar las vulnerabilidades críticas que afectan a sus enrutadores VPN para pequeñas empresas que podrían ser objeto de abuso por parte de un atacante remoto para ejecutar código arbitrario e incluso causar una condición de denegación de servicio (DoS).
Los problemas, registrados como CVE-2021-1609 (puntaje CVSS: 9.8) y CVE-2021-1610 (puntaje CVSS: 7.2), residen en la interfaz de administración basada en web de Small Business RV340, RV340W, RV345 y RV345P Dual. Enrutadores VPN Gigabit WAN que ejecutan una versión de firmware anterior a la versión 1.0.03.22. Ambos problemas se derivan de la falta de una validación adecuada de las solicitudes HTTP, lo que permite que un mal actor envíe una solicitud HTTP especialmente diseñada a un dispositivo vulnerable.
La explotación exitosa de CVE-2021-1609 podría permitir que un atacante remoto no autenticado ejecute código arbitrario en el dispositivo o haga que el dispositivo se recargue, lo que resultaría en una condición DoS. CVE-2021-1610, se refiere a una vulnerabilidad de inyección de comandos que, si se explota, podría permitir que un adversario autenticado ejecute de forma remota comandos arbitrarios con privilegios de root en un dispositivo afectado, señaló la compañía en su aviso.
A Swing of Chaitin Security Research Lab se le atribuye el informe de las dos deficiencias.
Cisco también abordó un error de ejecución de código remoto de alta gravedad (CVE-2021-1602, puntaje CVSS: 8.2) que afecta a los enrutadores VPN RV160, RV160W, RV260, RV260P y RV260W de pequeñas empresas que podría ser aprovechado por un atacante remoto no autenticado. para ejecutar comandos arbitrarios en el sistema operativo subyacente de un dispositivo afectado. Los enrutadores de la serie RV para pequeñas empresas que ejecutan versiones de firmware anteriores a 1.0.01.04 son susceptibles.
«Esta vulnerabilidad se debe a una validación insuficiente de la entrada del usuario. Un atacante podría explotar esta vulnerabilidad enviando una solicitud manipulada a la interfaz de administración basada en la web», dijo Cisco. «Una explotación exitosa podría permitir que el atacante ejecute comandos arbitrarios en un dispositivo afectado utilizando privilegios de nivel raíz. Debido a la naturaleza de la vulnerabilidad, solo se pueden ejecutar comandos sin parámetros».
La compañía señaló que no ha habido evidencia de intentos de explotación activa en la naturaleza para ninguno de estos defectos, ni hay soluciones alternativas que aborden las vulnerabilidades.
CVE-2021-1602 marca la segunda vez que Cisco corrige fallas críticas de ejecución remota de código relacionadas con el mismo conjunto de dispositivos VPN. A principios de febrero, la compañía reparó 35 fallas que podrían permitir que un atacante remoto no autenticado ejecute código arbitrario como usuario raíz en un dispositivo afectado.
