Cisco предупредила клиентов об обнаружении критической уязвимости, позволяющей обойти аутентификацию, для которой в сети уже доступен эксплоит. Проблема осложняется тем, что баг затрагивает несколько моделей устаревших VPN-маршрутизаторов компании, поддержка которых уже прекращена. В Cisco сообщили, что «не выпускали и не будут выпускать» для них обновления ПО.
Критическая уязвимость, найденная экспертами Qihoo 360 Netlab, отслеживается как CVE-2023-20025 и была обнаружена в веб-интерфейсе управления маршрутизаторами Cisco Small Business RV016, RV042, RV042G, и RV082.
Ошибка связана с некорректной проверкой пользовательского ввода во входящих HTTP-пакетах. Фактически, неаутентифицированный злоумышленник может использовать уязвимость удаленно, отправив специально подготовленный HTTP-запрос веб-интерфейсу уязвимого маршрутизатора для обхода аутентификации. Успешная эксплуатация этой бреши позволяет получить root-доступ. Более того, объединив ее с другой уязвимостью (CVE-2023-2002), можно добиться выполнения произвольных команд в базовой ОС.
Хотя уязвимость получила статус критической, а PoC-эксплоит уже доступен в сети, в Cisco заявили, что «не выпускали и не будут выпускать обновления программного обеспечения» для устаревших устройств.
Следует отметить, что маршрутизаторы RV016 и RV082 WAN VPN в последний раз поступали в продажу в 2016 году, а вот VPN-маршрутизаторы RV042 и RV042G были доступны для заказа еще в январе 2020 года, и должны поддерживаться до 31 января 2025 года.
В итоге администраторам рекомендуют отключить веб-интерфейс управления уязвимых девайсов и заблокировать доступ к портам 443 и 60443, чтобы предотвратить попытки эксплуатации.
