Routers CISCO en EoL expuestos a ataques de RCE
19 000 enrutadores Cisco VPN al final de su vida útil en Internet están expuestos a ataques dirigidos a una cadena de explotación de ejecución de comandos remotos.
Al encadenar dos fallas de seguridad reveladas la semana pasada, los actores de amenazas pueden eludir la autenticación (CVE-2023-20025) y ejecutar comandos arbitrarios (CVE-2023-2002) en el sistema operativo subyacente de los enrutadores Cisco Small Business RV016, RV042, RV042G y RV082.
ANTECEDENTES
El 11 de enero de 2023, surgieron algunos detalles sobre una vulnerabilidad crítica en la serie de enrutadores para pequeñas empresas de Cisco. Esta falla se está rastreando actualmente a través de CVE-2023-20025 y fue descubierta por el investigador Hou Liuyang en Qihoo360 (a través de Bleeping Computer). Cisco señaló que un exploit está flotando en Internet, aunque no se ha puesto a disposición del público. Pero la buena noticia es que Cisco no tiene conocimiento de que estos exploits se utilicen de forma malintencionada.
Aparentemente, la vulnerabilidad se debe a una validación incorrecta de la entrada del usuario en la herramienta de administración basada en la web, lo que permite a los clientes no autenticados eludir la autenticación y obtener privilegios administrativos que pueden ejecutar comandos arbitrarios.
La vulnerabilidad existe en cuatro enrutadores Cisco para pequeñas empresas:
RV016
RV042
RV042G
RV082
Cisco declaró en su aviso que “no han publicado actualizaciones de software para abordar las vulnerabilidades descritas en [el] aviso”. y que “no hay soluciones alternativas que aborden estas vulnerabilidades”. Dado que estos dispositivos están al final de su vida útil (lo que significa que Cisco no los admite en absoluto), no habrá una solución oficial para las vulnerabilidades. Si alguno de estos dispositivos está conectado directamente a Internet con la interfaz de administración web habilitada, es vulnerable y seguirá siéndolo.
De los cuatro modelos vulnerables, el RV042 domina el panorama, con más de 12 000 hosts expuestos a Internet. El RV082 y el RV042 con 3500 hosts, mientras que el RV016 se queda atrás con solo 784 activos expuestos a Internet.
Productos confirmados no vulnerables
Solo se sabe que los productos enumerados en la sección Productos vulnerables de este aviso están afectados por estas vulnerabilidades.
Cisco ha confirmado que estas vulnerabilidades no afectan a los siguientes enrutadores para pequeñas empresas de la serie RV de Cisco:
- Enrutadores VPN RV160
- Enrutadores VPN inalámbricos AC RV160W
Enrutadores VPN RV260 - Enrutadores VPN RV260P con PoE
- Enrutadores VPN inalámbricos AC RV260W
- Enrutadores VPN WAN Gigabit Dual RV320
- Enrutadores VPN WAN Gigabit Dual RV325
- Enrutadores VPN Gigabit de doble WAN RV340
- Enrutadores VPN inalámbricos-AC Gigabit de doble WAN RV340W
- Enrutadores VPN Gigabit de doble WAN RV345
- Enrutadores VPN Gigabit PoE de doble WAN RV345P
CVE-2023-20025: vulnerabilidad de omisión de autenticación de los routers RV016, RV042, RV042G y RV082 de Cisco Small Business
Una vulnerabilidad en la interfaz de administración basada en la web de los enrutadores Cisco Small Business RV016, RV042, RV042G y RV082 podría permitir que un atacante remoto no autenticado omita la autenticación en un dispositivo afectado.
Esta vulnerabilidad se debe a una validación incorrecta de la entrada del usuario dentro de los paquetes HTTP entrantes. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud HTTP manipulada a la interfaz de administración basada en web. Una explotación exitosa podría permitir al atacante eludir la autenticación y obtener acceso de root en el sistema operativo subyacente.
Cisco no ha publicado ni publicará actualizaciones de software que aborden esta vulnerabilidad. No hay soluciones alternativas que aborden esta vulnerabilidad. Sin embargo, los administradores pueden deshabilitar la función afectada como se describe en la sección Soluciones alternativas.
ID(s) de error: CSCwd47551
Identificación CVE: CVE-2023-20025
Clasificación de impacto de seguridad (SIR): crítico
Puntaje base CVSS: 9.0
Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
CVE-2023-20026: Vulnerabilidad de ejecución remota de comandos de los routers Cisco Small Business RV016, RV042, RV042G y RV082
Una vulnerabilidad en la interfaz de administración basada en web de los enrutadores Cisco Small Business RV016, RV042, RV042G y RV082 podría permitir que un atacante remoto autenticado ejecute comandos arbitrarios en un dispositivo afectado.
Esta vulnerabilidad se debe a una validación incorrecta de la entrada del usuario dentro de los paquetes HTTP entrantes. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud HTTP manipulada a la interfaz de administración basada en web. Una explotación exitosa podría permitir que el atacante obtenga privilegios de nivel raíz y acceda a datos no autorizados. Para aprovechar esta vulnerabilidad, un atacante necesitaría tener credenciales administrativas válidas en el dispositivo afectado.
Cisco no ha publicado ni publicará actualizaciones de software que aborden esta vulnerabilidad. No hay soluciones alternativas que aborden esta vulnerabilidad. Sin embargo, los administradores pueden deshabilitar la función afectada como se describe en la sección Soluciones alternativas.
ID(s) de error: CSCwd60199
Identificación CVE: CVE-2023-20026
Clasificación de impacto de seguridad (SIR): Medio
Puntaje base CVSS: 6.5
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
