Krytyczna luka w routerach Cisco nie otrzyma łatki

Krytyczna luka w zabezpieczeniach routerów Cisco Small Business Router nie zostanie załatana przez giganta sprzętu sieciowego. Producent ogłosił, że urządzenia osiągnęły koniec wsparcia z końcem 2019 roku i nawet krytyczna podatność nie jest tutaj wyjątkiem.

Podatność, śledzona jako CVE-2021-34730, z wynikiem CVSS 9.8, występuje w usłudze o nazwie Universal Plug-and-Play (UPnP). Umożliwia nieuwierzytelnionemu, zdalnemu napastnikowi wykonanie dowolnego kodu lub spowodowanie nieoczekiwanego ponownego uruchomienia urządzenia, którego dotyczy problem, co w rezultacie kończy się odmową podatnej usługi.

Słabość wynika tutaj z nieprawidłowej walidacji przychodzącego ruchu UPnP, która może zostać wykorzystana do wysłania specjalnie spreparowanego żądania UPnP do routera, którego dotyczy problem, co spowoduje zdalne wykonanie kodu jako użytkownik root w systemie operacyjnym. Widać więc, że sprawa jest poważna i wykorzystanie tej podatności może być tragiczne w skutkach dla całej sieci.

Oficjalne wiadomości od Cisco brzmią następująco:
„Cisco nie wydało i nie wyda aktualizacji oprogramowania w celu usunięcia luki. (…) Routery Cisco Small Business RV110W, RV130, RV130W i RV215W weszły w proces wycofania z eksploatacji. Zachęcamy klientów do migracji na routery Cisco Small Business RV132W, RV160 lub RV160W”.

Problem dotyczy więc następujących produktów:

Autor: Kapitan Hack Data dodania: 24 sie 2021 08:42 3 min czytania

Zapory sieciowe VPN RV110W Wireless-N
Routery VPN RV130
Wielofunkcyjne routery VPN RV130W Wireless-N
Routery VPN RV215W Wireless-N

Jako obejście problemu, Cisco zaleca klientom po prostu wyłączenie usługi UPnP w interfejsie LAN…

Trzeba mieć na uwadze, że wiadomość od Cisco sprawiła, że stare routery stają się jeszcze bardziej atrakcyjnym celem atakujących. Organizacje, które nadal korzystają ze starych routerów VPN, powinny natychmiast podjąć działania w celu aktualizacji swoich urządzeń. Posiadacze nowszego sprzętu Cisco mogą również spodziewać się wzmożonych prób ataków na ich sieci.

CVE-2021-34730 to drugi przypadek, gdy firma od początku roku zastosowała podejście polegające na nieudostępnianiu poprawek do wycofanych z eksploatacji routerów. Na początku kwietnia Cisco wezwał użytkowników do wymiany routerów jako środka zaradczego w celu rozwiązania podobnego błędu zdalnego wykonania kodu (CVE-2021-1459), który ma wpływ na zaporę sieciową VPN RV110W oraz routery Small Business RV130, RV130W i RV215W. Ponadto firma Cisco wydała również alert dotyczący krytycznej usterki BadAlloc wpływającej na system operacyjny czasu rzeczywistego BlackBerry QNX (RTOS), który ujrzał światło dzienne na początku tego tygodnia.

Ewidentnie Cisco, podobnie jak Microsoft, pod kątem bezpieczeństwa swoich produktów, nie ma dobrej passy.