Cisco ha implementado correcciones para múltiples vulnerabilidades críticas en la interfaz de administración basada en la web de los enrutadores de pequeñas empresas que podrían permitir que un atacante remoto no autenticado ejecute código arbitrario como usuario raíz en un dispositivo afectado.

Las fallas, rastreadas desde CVE-2021-1289 hasta CVE-2021-1295 (puntaje CVSS 9.8), afectan a los enrutadores VPN RV160, RV160W, RV260, RV260P y RV260W que ejecutan una versión de firmware anterior a la Versión 1.0.01.02.

Junto con las tres vulnerabilidades antes mencionadas, también se lanzaron parches para dos fallas de escritura de archivos arbitrarias más (CVE-2021-1296 y CVE-2021-1297) que afectan el mismo conjunto de enrutadores VPN que podrían haber hecho posible que un adversario sobrescriba archivos arbitrarios en el sistema vulnerable.

Los nueve problemas de seguridad fueron informados al fabricante de equipos de red por el investigador de seguridad Takeshi Shiomitsu, quien previamente descubrió fallas críticas similares en los enrutadores RV110W, RV130W y RV215W que podrían aprovecharse para ataques de ejecución remota de código (RCE).

Si bien los detalles exactos de las vulnerabilidades aún no están claros, Cisco dijo que las fallas:

• CVE-2021-1289, CVE-2021-1290, CVE-2021-1291, CVE-2021-1292, CVE-2021-1293, CVE-2021-1294 y CVE-2021-1295 son el resultado de una validación incorrecta de las solicitudes HTTP, lo que permite a un atacante crear una solicitud HTTP especialmente diseñada para la interfaz de administración basada en web y lograr RCE.

• CVE-2021-1296 y CVE-2021-1297 se deben a una validación de entrada insuficiente, lo que permite que un atacante explote estas fallas utilizando la interfaz de administración basada en web para cargar un archivo en una ubicación a la que no debería tener acceso.

Por separado, otro conjunto de cinco fallas (CVE-2021-1314 a CVE-2021-1318) en la interfaz de administración basada en web de los enrutadores Small Business RV016, RV042, RV042G, RV082, RV320 y RV325 podría haber otorgado a un atacante la capacidad para inyectar comandos arbitrarios en los enrutadores que se ejecutan con privilegios de root.

Por último, Cisco también abordó 30 vulnerabilidades adicionales (CVE-2021-1319 a CVE-2021-1348), que afectan al mismo conjunto de productos, que podrían permitir que un atacante remoto autenticado ejecute código arbitrario e incluso provocar una denegación de servicio. condición.

«Para explotar estas vulnerabilidades, un atacante necesitaría tener credenciales de administrador válidas en el dispositivo afectado», dijo Cisco en un aviso publicado el 3 de febrero.

A Kai Cheng del Instituto de Ingeniería de la Información, que forma parte de la Academia de Ciencias de China, se le atribuye el informe de las 35 fallas en la interfaz de administración del enrutador.

La compañía también señaló que no ha habido evidencia de intentos de explotación activa en la naturaleza para ninguno de estos defectos, ni hay soluciones alternativas que aborden las vulnerabilidades.