Cisco a déployé des correctifs pour plusieurs vulnérabilités critiques dans l’interface de gestion Web des routeurs Small Business qui pourraient potentiellement permettre à un attaquant distant non authentifié d’exécuter du code arbitraire en tant qu’utilisateur root sur un périphérique affecté.

La défauts – suivi de CVE-2021-1289 à CVE-2021-1295 (score CVSS 9,8) – impact sur les routeurs VPN RV160, RV160W, RV260, RV260P et RV260W exécutant une version de firmware antérieure à la version 1.0.01.02

En plus des trois vulnérabilités susmentionnées, des correctifs ont également été publiés pour deux autres défauts d’écriture de fichiers arbitraires (CVE-2021-1296 et CVE-2021-1297) affectant le même ensemble de routeurs VPN qui aurait pu permettre à un adversaire d’écraser des fichiers arbitraires sur le système vulnérable.

Les neuf problèmes de sécurité ont été signalés au fabricant d’équipement réseau par le chercheur en sécurité Takeshi Shiomitsu, qui a déjà découvert défauts critiques similaires dans les routeurs RV110W, RV130W et RV215W qui pourraient être exploités pour les attaques d’exécution de code à distance (RCE).

Bien que les spécificités exactes des vulnérabilités ne soient toujours pas claires, Cisco a déclaré que les failles –

• CVE-2021-1289, CVE-2021-1290, CVE-2021-1291, CVE-2021-1292, CVE-2021-1293, CVE-2021-1294 et CVE-2021-1295 sont le résultat d’une validation incorrecte des requêtes HTTP, permettant à un attaquant de créer une requête HTTP spécialement conçue vers l’interface de gestion Web et d’atteindre RCE.

• CVE-2021-1296 et CVE-2021-1297 sont dus à une validation d’entrée insuffisante, permettant à un attaquant d’exploiter ces failles à l’aide de l’interface de gestion Web pour télécharger un fichier vers un emplacement auquel il ne devrait pas avoir accès.

Séparément, un autre ensemble de cinq pépins (CVE-2021-1314 à CVE-2021-1318) dans l’interface de gestion Web des routeurs Small Business RV016, RV042, RV042G, RV082, RV320 et RV325 auraient pu accorder à un attaquant la possibilité d’injecter des commandes arbitraires sur les routeurs exécutés avec les privilèges root.

Enfin, Cisco a également abordé 30 vulnérabilités supplémentaires (CVE-2021-1319 à CVE-2021-1348), affectant le même ensemble de produits, qui pourrait permettre à un attaquant distant authentifié d’exécuter du code arbitraire et même de provoquer une condition de déni de service.

«Pour exploiter ces vulnérabilités, un attaquant devrait avoir des informations d’identification d’administrateur valides sur le périphérique affecté», a déclaré Cisco dans un avis publié le 3 février.

Kai Cheng de l’Institut d’ingénierie de l’information, qui fait partie de l’Académie chinoise des sciences, a été crédité d’avoir signalé les 35 failles dans l’interface de gestion du routeur.

La société a également noté qu’il n’y avait eu aucune preuve de tentatives d’exploitation actives dans la nature pour aucune de ces failles, ni aucune solution de contournement qui corrige les vulnérabilités.