【漏洞通告】CiscoSmallBusinessVPN路由器任意代码执行漏洞(CVE-2021-1609)

admin 2021年12月16日23:46:32评论174 views字数 1422阅读4分44秒阅读模式

0x00 漏洞概述

CVE   ID

CVE-2021-1609

时    间

2021-08-04

类    型

代码执行

等    级

严重

远程利用

影响范围


攻击复杂度

可用性

用户交互

所需权限

PoC/EXP

未公开

在野利用

 

0x01 漏洞详情

【漏洞通告】Cisco Small Business VPN路由器任意代码执行漏洞(CVE-2021-1609)

2021年8月4日,Cisco发布安全公告,修复了其Small Business VPN 路由器中的多个安全漏洞,其中最为严重的漏洞为CVE-2021-1609(CVSS评分9.8),攻击者可以利用此漏洞远程执行任意代码或造成拒绝服务。

由于HTTP 请求未正确验证,Cisco Small Business RV340、RV340W、RV345和RV345P双WAN千兆VPN路由器基于Web的管理界面存在安全漏洞。未经身份验证的远程攻击者可以通过向受影响的设备发送恶意HTTP 请求来利用此漏洞。成功利用此漏洞的攻击者能够在受影响的设备上执行任意代码或导致设备重新加载,从而造成拒绝服务(DoS)。

除此之外,Cisco Small Business RV340、RV340W、RV345和RV345P双WAN千兆VPN路由器基于Web的管理界面中还存在一个命令注入漏洞(CVE-2021-1610,CVSS评分7.2),经过身份验证的远程攻击者可以通过向受影响的设备发送恶意HTTP 请求来利用此漏洞,并最终能够以root身份在系统上执行任意命令。

 

影响范围

如果Cisco Small Business Routers运行的固件版本小于1.0.03.22,这些漏洞将影响(受影响的 VPN 路由器型号默认禁用远程管理功能):

RV340双WAN千兆VPN路由器

RV340W双WAN千兆无线AC VPN路由器

RV345双WAN千兆VPN路由器

RV345P双WAN千兆VPN路由器

 

0x02 处置建议

目前,Cisco已经在固件版本1.0.03.22 及更高版本中修复了这些漏洞,建议及时升级更新:

进入Cisco.com 上的软件下载中心,单击“浏览全部”并导航至“下载主页” >“路由器” >“小型企业路由器” >“小型企业 RV 系列路由器”。

下载链接:

https://software.cisco.com/download/home

 

0x03 参考链接

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv340-cmdinj-rcedos-pY8J3qfy

https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-high-severity-pre-auth-flaws-in-vpn-routers/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-1609

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-08-05

首次发布

 

0x05 文档附录

CNVD:www.cnvd.org.cn

CNNVD:www.cnnvd.org.cn

CVE:cve.mitre.org

NVD:nvd.nist.gov

CVSS:www.first.org

 

0x06 关于我们

关注以下公众号,获取更多资讯:

【漏洞通告】Cisco Small Business VPN路由器任意代码执行漏洞(CVE-2021-1609)


本文始发于微信公众号(维他命安全):【漏洞通告】Cisco Small Business VPN路由器任意代码执行漏洞(CVE-2021-1609)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年12月16日23:46:32
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞通告】CiscoSmallBusinessVPN路由器任意代码执行漏洞(CVE-2021-1609)https://cn-sec.com/archives/447766.html

发表评论

匿名网友 填写信息