В январе 2018 года стало известно, что злоумышленники массово сканируют интернет в поисках уязвимых маршрутизаторов Cisco RV320 и RV325. Сканирования начались после публикации PoC-эксплоита для двух серьезных уязвимостей в этих моделях.
Речь шла сразу о двух багах. Так, уязвимость CVE-2019-1653 позволяет удаленному атакующему получить данные о конфигурации устройства (без пароля). Вторая проблема, CVE-2019-1652, в свою очередь, позволяет удаленному злоумышленнику внедрять и выполнять произвольные команды на уязвимом девайсе.
Обе проблемы были обнаружены специалистами компании RedTeam Pentesting, и считалось, что инженеры Cisco исправили баги 23 января текущего года, выпустив патчи. Однако вчера, 27 марта 2019 года, эксперты RedTeam Pentesting сообщили (1, 2, 3), что январские патчи оказались неэффективны, и устройства RV320 и RV325 по-прежнему уязвимы для атак.
#Cisco Small Business Routers still vulnerable to remote code execution & configuration export due to incomplete patch ? #RCE #RV320 #RV325 New advisories: https://t.co/fPzrrkb3Hk https://t.co/xZex3wdfpb https://t.co/iZUuCCEnGx
— RedTeam Pentesting (@RedTeamPT) March 27, 2019
Cisco firmware update for RV320/RV325 routers simply blacklisted the user agent for curl. ?♂️ https://t.co/iWrUn98vcr
— Bad Packets Report (@bad_packets) March 27, 2019
Дело в том, что в январских исправлениях разработчики Cisco попросту внесли curl в черные список, однако исследователи объясняют, что это вряд ли помешает атакующим обнаружить уязвимые устройства и воспользоваться публично доступными эксплоитами для них. К сожалению, настоящих исправлений для CVE-2019-1653 и CVE-2019-1652 до сих пор нет, хотя в Cisco уже признали существование проблемы.
По данным известного ИБ-эксперта Троя Мурша (Troy Mursch) из Bad Packets LLC, который одним из первых заметил сканирования злоумышленников в начале года, попытки атак на уязвимые маршрутизаторы продолжаются до сих пор. Хуже того, по словам Мурша, многие администраторы не установили на свои устройства даже неэффективные январские патчи.
