El importante equipo de redes Cisco Systems ha dicho que no planea corregir una vulnerabilidad de seguridad crítica que afecta a algunos de sus enrutadores para pequeñas empresas, en lugar de instar a los usuarios a reemplazar los dispositivos.

El error, rastreado como CVE-2021-1459, tiene una calificación CVSS de 9.8 sobre 10 y afecta el firewall VPN RV110W y los enrutadores RV130, RV130W y RV215W para pequeñas empresas, lo que permite que un atacante remoto no autenticado ejecute código arbitrario en un aparato afectado.

La falla, que se deriva de la validación incorrecta de la entrada proporcionada por el usuario en la interfaz de administración basada en la web, podría ser explotada por un actor malintencionado para enviar solicitudes HTTP especialmente diseñadas al dispositivo de destino y lograr la ejecución remota del código.

«Una explotación exitosa podría permitir que el atacante ejecute código arbitrario como usuario raíz en el sistema operativo subyacente del dispositivo afectado», dijo Cisco en su aviso.

Al investigador de seguridad Treck Zhou se le atribuye el informe de la vulnerabilidad. Aunque la compañía señaló que no ha habido evidencia de intentos de explotación activos en la naturaleza, no tiene la intención de lanzar un parche ni ofrecer soluciones alternativas, citando que los productos han llegado al final de su vida útil.

«Los enrutadores Cisco Small Business RV110W, RV130, RV130W y RV215W han entrado en el proceso de fin de vida», dijo la firma. «Se alienta a los clientes a migrar a los enrutadores Cisco Small Business RV132W, RV160 o RV160W».

Por separado, Cisco también lanzó actualizaciones de software para abordar múltiples vulnerabilidades en Cisco SD-WAN vManage Software (CVE-2021-1137, CVE-2021-1479 y CVE-2021-1480) que podrían permitir que un atacante remoto no autenticado ejecute ataques arbitrarios. código o permitir que un atacante local autenticado obtenga privilegios escalados en un sistema afectado.

Como consecuencia de una condición de desbordamiento de búfer, CVE-2021-1479 tiene una calificación de 9.8 en gravedad y una explotación exitosa de la cual «podría permitir que el atacante ejecute código arbitrario en el sistema operativo subyacente con privilegios de raíz».