L’équipement réseau majeur Cisco a déployé des correctifs pour remédier aux vulnérabilités critiques affectant ses routeurs VPN Small Business qui pourraient être exploitées par un attaquant distant pour exécuter du code arbitraire et même provoquer une condition de déni de service (DoS).
Les problèmes, suivis comme CVE-2021-1609 (score CVSS : 9,8) et CVE-2021-1610 (score CVSS : 7,2), résident dans l’interface de gestion Web des Small Business RV340, RV340W, RV345 et RV345P Dual. Routeurs VPN Gigabit WAN exécutant une version de firmware antérieure à la version 1.0.03.22. Les deux problèmes découlent d’un manque de validation appropriée des requêtes HTTP, permettant ainsi à un acteur malveillant d’envoyer une requête HTTP spécialement conçue à un périphérique vulnérable.
L’exploitation réussie de CVE-2021-1609 pourrait permettre à un attaquant distant non authentifié d’exécuter du code arbitraire sur l’appareil ou de provoquer le rechargement de l’appareil, entraînant une condition de DoS. CVE-2021-1610, concerne une vulnérabilité d’injection de commande qui, si elle était exploitée, pourrait permettre à un adversaire authentifié d’exécuter à distance des commandes arbitraires avec des privilèges root sur un appareil affecté, la société c’est noté dans son avis.
Swing of Chaitin Security Research Lab a été crédité d’avoir signalé les deux lacunes.
Cisco a également traité un bogue d’exécution de code à distance de haute gravité (CVE-2021-1602, score CVSS : 8,2) affectant les routeurs VPN Small Business RV160, RV160W, RV260, RV260P et RV260W qui pourrait être exploité par un attaquant distant non authentifié. pour exécuter des commandes arbitraires sur le système d’exploitation sous-jacent d’un périphérique affecté. Les routeurs Small Business RV Series exécutant des versions de micrologiciel antérieures à 1.0.01.04 sont sensibles.
« Cette vulnérabilité est due à une validation insuffisante des entrées de l’utilisateur. Un attaquant pourrait exploiter cette vulnérabilité en envoyant une requête spécialement conçue à l’interface de gestion Web », Cisco mentionné. « Un exploit réussi pourrait permettre à l’attaquant d’exécuter des commandes arbitraires sur un appareil affecté en utilisant des privilèges de niveau racine. En raison de la nature de la vulnérabilité, seules les commandes sans paramètres peuvent être exécutées. »
La société a noté qu’il n’y avait aucune preuve de tentatives d’exploitation actives dans la nature pour l’un de ces défauts, et qu’il n’y avait aucune solution de contournement qui corrige les vulnérabilités.
CVE-2021-1602 marque la deuxième fois que Cisco corrige des failles critiques d’exécution de code à distance concernant le même ensemble d’appliances VPN. Plus tôt en février, la société a corrigé 35 failles qui pourraient potentiellement permettre à un attaquant distant non authentifié d’exécuter du code arbitraire en tant qu’utilisateur root sur un appareil affecté.
