Cisco emite una advertencia por vulnerabilidades no parcheadas en los routers empresariales EoL

Cisco corrige error crítico de ejecución remota de código en enrutadores VPN

 

Cisco ha advertido de dos vulnerabilidades de seguridad que afectan al final de su vida útil (EoL) a las pequeñas empresas RV016, RV042, RV042G y RV082 routers que, según dijo, no se solucionarán, incluso cuando reconoció la disponibilidad pública de la prueba de concepto (PoC) exploit.

Los problemas tienen sus raíces en la interfaz de administración basada en web del enrutador, lo que permite a un adversario remoto eludir la autenticación o ejecutar comandos maliciosos en el sistema operativo subyacente.

El más grave de los dos es CVE-2023-20025 (puntuación CVSS: 9.0), que es el resultado de una validación incorrecta de la entrada del usuario dentro de los paquetes HTTP entrantes.

Un actor de amenazas podría explotarlo de forma remota enviando una solicitud HTTP especialmente diseñada a la interfaz de administración basada en web de los enrutadores vulnerables para eludir la autenticación y obtener permisos elevados.

La falta de validación adecuada es también la razón detrás de la segunda falla rastreada como CVE-2023-20026 (puntuación CVSS: 6.5), que permite a un atacante con credenciales de administrador válidas lograr privilegios de nivel raíz y acceder a datos no autorizados.

“Cisco no ha lanzado y no lanzará actualizaciones de software para abordar las vulnerabilidades”, dijo la compañía. “Los routers Cisco Small Business RV016, RV042, RV042G y RV082 han entrado en el proceso de fin de vida útil”.

Como solución alternativa, se recomienda a los administradores que deshabiliten la administración remota y bloqueen el acceso a los puertos 443 y 60443. Dicho esto, Cisco está advirtiendo a los usuarios que “determinen la aplicabilidad y efectividad [de la mitigación] en su propio entorno y bajo sus propias condiciones de uso”.

Hou Liuyang de Qihoo 360 Netlab ha sido acreditado con el descubrimiento y la notificación de las fallas a Cisco.

El especialista en equipos de red señaló además que, si bien es consciente del código PoC en la naturaleza, dijo que no ha observado ningún uso malicioso de las vulnerabilidades en ataques del mundo real.

Privacy Preferences
When you visit our website, it may store information through your browser from specific services, usually in form of cookies. Here you can change your privacy preferences. Please note that blocking some types of cookies may impact your experience on our website and the services we offer.