Cisco, cihazların ömrünün sonuna (EOL) ulaştığı için birden fazla küçük işletme VPN yönlendiricisini etkileyen yeni bir kimlik doğrulama baypas kusurunun yamalı olmayacağını söylüyor.
Bu sıfır gün hatası (CVE-2022-20923), saldırganların, şirketin "hazırlanmış kimlik bilgileri" olarak tanımladığı şeyi kullanarak savunmasız cihazlarda VPN'ye giriş yapabilmeleri için kullanabileceği hatalı bir şifre doğrulama algoritmasından kaynaklanır. .
Cisco Çarşamba günü yayınlanan bir güvenlik danışmanında, "Başarılı bir istismar, saldırganın kimlik doğrulamasını atlamasına ve IPSEC VPN ağına erişmesine izin verebilir."
"Saldırgan, kullanılan hazırlanmış kimlik bilgilerine bağlı olarak idari kullanıcı ile aynı seviye olan ayrıcalıklar alabilir."
IPSEC VPN sunucusunun bir yönlendiricide etkin olup olmadığını belirlemek için Web tabanlı yönetim arabirimine giriş yapmanız ve VPN> IPSEC VPN Sunucusu> Kurulumu'na gitmeniz gerekir.
"Sunucu Etkinleştir" onay kutusu işaretlenirse, cihaz CVE-2022-20923 Sömürü denemelerine maruz kalır.
Neyse ki, Cisco, ürün güvenliği olay müdahale ekibinin (PSIR), bu sıfır günü veya danışma yayınlanana kadar vahşi doğadaki hatayı sömüren herhangi bir tehdit aktörünün kamuya açık bir kavram kanıtı ile ilgili hiçbir kanıt bulamadığını söylüyor.
Cisco, müşterilerin hala güvenlik güncellemeleri alan yeni modellere yükseltmek için bu güvenlik açığından etkilenen RV110W, RV130, RV130W ve RV215W yönlendiricilerini kullanmasını istedi.
Cisco'nun web sitesindeki satış sonu duyurusuna göre, bu RV serisi yönlendiricilerin sipariş için hazır olduğu son gün 2 Aralık 2019.
Şirket, "Cisco yayınlamadı ve bu danışmanlıkta açıklanan güvenlik açığını ele almak için yazılım güncellemeleri yayınlamayacak."
"Müşteriler Cisco Small Business RV132W, RV160 veya RV160W yönlendiricilerine taşınmaya teşvik ediliyor."
CVE-2022-20923, Cisco'nun son yıllarda açılmamış bıraktığı bu EOL yönlendirici modellerini etkileyen ilk ciddi güvenlik açığı değildir.
Örneğin, Ağustos 2021'de şirket, bu RV serisi yönlendiricilerde kritik bir güvenlik açığı (CVE-2021-34730) için güvenlik yamaları serbest bırakmayacağını söyledi, bu da kimlik doğrulanmamış saldırganların kök kullanıcı olarak keyfi kodu yürütmesini sağlayarak kullanıcılara Daha yeni modellere geçin.
Haziran 2022'de Cisco, yeni bir kritik uzaktan kumanda yürütme (RCE) güvenlik açığını (CVE-2022-20825) açıkladıktan sonra sahiplerine yeni modellere geçmelerini tavsiye etti.
Cisco, VPN yönlendiricilerindeki kritik uzaktan kumanda yürütme hatasını düzeltir
VMware, yöneticileri hemen kritik otorite bypass hatasını patlatmaya çağırıyor
Moobot Botnet, Patched D-Link yönlendiriciniz için geliyor
Google Chrome Acil Durum Güncellemesi, saldırılarda kullanılan yeni sıfır günü düzeltiyor
Bilgisayar korsanları, sıfır gün hatasını sömürerek Bitcoin ATM'lerinden kripto çalıyor
Kaynak: Bleeping Computer