Cisco не будет исправлять критическую уязвимость в старых маршрутизаторах

Компания Cisco рекомендует владельцам маршрутизаторов Small Business RV обновиться до более новых моделей, поскольку в старых была обнаружена критическая уязвимость, которую производитель не будет исправлять.

Уязвимость (CVE-2022-20825) существует из-за граничной ошибки при обработке HTTP-пакетов. Удаленный неавторизованный злоумышленник может отправлять специально созданные HTTP-пакеты в web-интерфейс управления, вызывать переполнение буфера и выполнять произвольный код, пишут в Securitylab. Успешная эксплуатация уязвимости может привести к полной компрометации уязвимой системы.

Проблема затрагивает четыре модели маршрутизаторов серии Small Business RV – RV110W Wireless-N VPN Firewall, RV130 VPN Router, RV130W Wireless-N Multifunction VPN Router и RV215W Wireless-N VPN Router. Уязвимыми являются только устройства с web-интерфейсом для удаленного управления, активированным по соединению WAN.

Хотя функция удаленного управления в настройках по умолчанию отключена, поиск в Shodan выдает множество уязвимых моделей, доступных через интернет.

Компания Cisco заявила, что не будет выпускать исправление для CVE-2022-20825 для более неподдерживаемых устройств. Единственный способ обезопасить старые модели – это отключить удаленное управление через WAN.

Пользователям рекомендуется внести изменения в настройки конфигурации до тех пор, пока они не смогут обновиться до более новых, поддерживаемых Cisco моделей маршрутизаторов Cisco Small Business RV132W, RV160 или RV160W Routers.