Cisco ha solucionado múltiples vulnerabilidades críticas en la interfaz de administración basada en la web de los routers para pequeñas empresas que podrían permitir que un atacante remoto no autenticado ejecute código arbitrario como usuario raíz en un dispositivo afectado.
Las fallas, identificadas desde CVE-2021-1289 hasta CVE-2021-1295 (puntuación CVSS 9.8), impactan en los routers VPN RV160, RV160W, RV260, RV260P y RV260W que ejecutan una versión de firmware anterior a la versión 1.0.01.02.
Junto con las tres vulnerabilidades mencionadas anteriormente, también se han lanzado parches para dos fallas de escritura de archivos arbitrarias más (CVE-2021-1296 y CVE-2021-1297) que afectan al mismo conjunto de enrutadores VPN que podrían haber hecho posible que un adversario sobrescribiera archivos arbitrarios en el sistema vulnerable.
Los nueve problemas de seguridad fueron informados al fabricante de equipos de red por el investigador de seguridad Takeshi Shiomitsu, quien previamente descubrió fallas críticas similares en los routers RV110W, RV130W y RV215W que podrían aprovecharse para ataques de ejecución remota de código (RCE).
Si bien los detalles exactos de las vulnerabilidades aún no están claros, Cisco dijo que las fallas:
- CVE-2021-1289, CVE-2021-1290, CVE-2021-1291, CVE-2021-1292, CVE-2021-1293, CVE-2021-1294 y CVE-2021-1295 son el resultado de una validación incorrecta de HTTP solicitudes, lo que permite a un atacante crear una solicitud HTTP especialmente diseñada para la interfaz de administración basada en web y lograr RCE.
- CVE-2021-1296 y CVE-2021-1297 se deben a una validación de entrada insuficiente, lo que permite a un atacante aprovechar estas fallas utilizando la interfaz de administración basada en web para cargar un archivo en una ubicación a la que no debería tener acceso.
Desde Cisco han indicado que todos los routers afectados para pequeñas empresas son vulnerables a los ataques y están tratando de explotar estas vulnerabilidades si ejecutan una versión de firmware anterior a la versión 1.0.01.02.
Por separado, otro conjunto de cinco fallos (CVE-2021-1314 a CVE-2021-1318) en la interfaz de administración basada en web de los enrutadores RV016, RV042, RV042G, RV082, RV320 y RV325 de Small Business podrían haberle otorgado la capacidad a un atacante para inyectar comandos arbitrarios en los enrutadores que se ejecutan con privilegios de root.
Por último, Cisco también abordó 30 vulnerabilidades adicionales (CVE-2021-1319 a CVE-2021-1348), que afectan al mismo conjunto de productos, que podrían permitir que un atacante remoto autenticado ejecute código arbitrario e incluso provoque una denegación de servicio. condición.
«Para explotar estas vulnerabilidades, un atacante necesitaría tener credenciales de administrador válidas en el dispositivo afectado», dijo Cisco en un aviso publicado el 3 de febrero.
A Kai Cheng, del Instituto de Ingeniería de la Información, que forma parte de la Academia de Ciencias de China, se le atribuye haber informado de las 35 fallas en la interfaz de administración del router.
La compañía también señaló que no ha habido evidencia de intentos de explotación activos en la naturaleza para ninguno de estos defectos, ni existen soluciones que aborden las vulnerabilidades.
