Cisco sẽ không vá lỗi RCE nghiêm trọng trên các router đã hết hạn sử dụng

[sImplePerson]

Hãng thiết bị mạng Cisco Systems cho biết hãng không có kế hoạch khắc phục lỗ hổng nghiêm trọng ảnh hưởng đến các bộ định tuyến dành cho doanh nghiệp nhỏ, thay vào đó thúc giục người dùng thay thế các thiết bị này.

Lỗ hổng CVE-2021-1459, điểm CVSS là 9,8/10 ảnh hưởng đến tường lửa VPN RV110W và các bộ định tuyến RV130, RV130W và RV215W cho doanh nghiệp nhỏ, cho phép kẻ tấn công từ xa chưa xác thực có thể thực thi mã tùy ý trên những thiết bị bị ảnh hưởng.

Lỗ hổng này bắt nguồn từ việc xác thực không đúng đầu vào do người dùng cung cấp trong giao diện quản lý nền tảng web, có thể bị hacker lợi dụng để gửi các yêu cầu HTTP tự tạo đến thiết bị mục tiêu và tiến hành thực thi mã từ xa.

Trong khuyến cáo của mình, Cisco cho biết: "Khai thác thành công có thể cho phép kẻ tấn công thực thi mã tùy ý bằng tài khoản root trên hệ điều hành cơ bản của thiết bị ảnh hưởng".

Nhà nghiên cứu bảo mật Treck Zhou, người báo cáo lỗ hổng này đã được Cisco ghi danh. Tuy nhiên chưa có bằng chứng cho thấy các nỗ lực khai thác lỗ hổng trên thực tế. Cisco cũng cho biết, họ không có ý định phát hành bản vá hay đưa ra giải pháp thay thế nào vì các sản phẩm này kết thúc vòng đời của mình.

Theo Cisco: "Các bộ định tuyến Cisco Small Business RV110W, RV130, RV130W và RV215W hiện đã ngừng kinh doanh. Khách hàng được khuyến khích chuyển sang Bộ định tuyến Cisco Small Business RV132W, RV160 hoặc RV160W".

Ngoài ra, Cisco cũng đã phát hành các bản cập nhật phần mềm để giải quyết nhiều lỗ hổng trong phần mềm Cisco SD-WAN vManage (CVE-2021-1137, CVE-2021-1479 và CVE-2021-1480) có thể cho phép kẻ tấn công từ xa thực thi mã tùy ý hoặc kẻ tấn công local giành được quyền leo thang trên hệ thống bị ảnh hưởng.

Theo The Hacker News​