Cisco bugün müşterileri, birden fazla ömür sonu (EOL) VPN yönlendiricilerini etkileyen kamu istismar kodu ile kritik bir kimlik doğrulama baypas güvenlik açığı konusunda uyardı.
Güvenlik kusuru (CVE-2023-20025), Qihoo 360 NetLab'dan Hou Liuyang tarafından Cisco Small Business RV016, RV042, RV042G ve RV082 yönlendiricilerinin web tabanlı yönetim arayüzünde bulundu.
Gelen HTTP paketleri içindeki kullanıcı girişinin yanlış doğrulanmasından kaynaklanır. Kimlik dışı saldırganlar, savunmasız yönlendiricilerin web tabanlı yönetim arayüzüne atıfta bulunmak için özel olarak hazırlanmış bir HTTP isteği göndererek uzaktan yararlanabilir.
Başarılı sömürü, kök erişimi kazanmalarını sağlar. CVE-2023-2002 olarak izlenen başka bir güvenlik açığı ile zincirleyerek (bugün Cisco tarafından açıklanan), temel işletim sisteminde keyfi komutlar yürütebilirler.
Kritik bir ciddiyet hatası olarak derecelendirmeye ve ürün güvenliği olay müdahale ekibinin (PSIRT) ekibinin vahşi doğada mevcut olan kavram kanıtı istismar kodunun farkında olduğunu söylemesine rağmen, Cisco "yazılım güncellemelerini yayınlamayacağını ve yayınlamayacağını kaydetti. Bu güvenlik açığını ele al. "
Neyse ki, Cisco Psirt, güvenlik açığının saldırılarda istismar edildiğini gösteren hiçbir kanıt bulamadı.
RV016 ve RV082 WAN VPN yönlendiricileri Ocak ve Mayıs 2016'da satışa devam ederken, RV042 ve RV042G VPN yönlendiricilerinin sipariş için mevcut olduğu son gün 30 Ocak 2020 ve 31 Ocak 2025'e kadar destek altında olacak.
Bu güvenlik açığını ele alacak hiçbir geçici çözüm olmasa da, yöneticiler savunmasız yönlendiricilerin web tabanlı yönetim arayüzünü devre dışı bırakabilir ve 443 ve 60443 bağlantı noktalarına erişimi engelleyebilir.
Bunu yapmak için, her bir cihazın web tabanlı yönetim arayüzüne giriş yapmanız, Güvenlik Duvarı> Genel olarak gitmeniz ve uzaktan yönetim onay kutusunu işaretlemeniz gerekir.
Bugün yayınlanan güvenlik danışmanında Cisco, 443 ve 60443 limanlarına erişimi engellemek için ayrıntılı adımlar da sunuyor.
Etkilenen yönlendiriciler hala erişilebilir olacak ve yukarıdaki hafifletme uygulandıktan sonra LAN arayüzü üzerinden yapılandırılabilir.
Eylül ayında şirket, RV110W, RV130, RV130W ve RV215W EOL yönlendiricilerini etkileyen kritik bir auth atlama kusurunu düzeltmeyeceğini ve destek altındaki RV132W, RV160 veya RV160W yönlendiricilerine geçmeye teşvik ettiğini söyledi.
Haziran ayında Cisco, sahiplerine, aynı zamanda açılmamış bırakılan kritik bir uzaktan kumanda yürütme (RCE) güvenlik açığını (CVE-2022-20825) açıkladıktan sonra yeni yönlendirici modellerine geçmelerini tavsiye etti.
Cisco, EOL yönlendiricilerindeki sıfır gününü atlatmaya yönelik kimlik doğrulamasını düzeltmeyecek
Microsoft: OWASSRF Kusurla Küba Fidye Yazılımı Hacking Exchange Sunucuları
Auth0, 22.000 proje tarafından kullanılan JsonWebtoken Kütüphanesinde RCE kusurunu düzeltiyor
Ransomware Gang, sunucuları ihlal etmek için yeni Microsoft Exchange istismarını kullanıyor
Synology, VPN yönlendiricilerindeki maksimum şiddet güvenlik açığını düzeltir
Kaynak: Bleeping Computer