Cisco dit qu’il ne corrigera pas le RCE zero-day dans les routeurs VPN en fin de vie

Cisco conseille aux propriétaires de routeurs de camping-car pour petites entreprises en fin de vie de passer à des modèles plus récents après avoir divulgué une vulnérabilité d’exécution de code à distance qui ne sera pas corrigée.

La vulnérabilité est suivie comme CVE-2022-20825 et a un indice de gravité CVSS de 9,8 sur 10,0.

Selon un avis de sécurité Cisco, la faille existe en raison d’une validation insuffisante des entrées utilisateur des paquets HTTP entrants sur les appareils concernés.

Un attaquant pourrait l’exploiter en envoyant une requête spécialement conçue à l’interface de gestion Web, ce qui entraînerait l’exécution de commandes avec des privilèges de niveau racine.

Impact et remédiation

La vulnérabilité affecte quatre modèles de la série Small Business RV, à savoir le pare-feu VPN Wireless-N RV110W, le routeur VPN RV130, le routeur VPN multifonction Wireless-N RV130W et le routeur VPN Wireless-N RV215W.

Cette vulnérabilité affecte uniquement les appareils avec l’interface de gestion à distance basée sur le Web activée sur les connexions WAN.

Bien que la fonction de gestion à distance ne soit pas activée dans la configuration par défaut, de brèves recherches à l’aide de Shodan ont trouvé des appareils exposés.

Pour déterminer si la gestion à distance est activée, les administrateurs doivent se connecter à l’interface de gestion Web, accéder à “Paramètres de base &gt ; Gestion à distance », et vérifiez l’état de la case à cocher correspondante.

Cisco déclare qu’il ne publiera pas de mise à jour de sécurité pour corriger CVE-2022-20825 car les appareils ne sont plus pris en charge. De plus, aucune atténuation n’est disponible autre que la désactivation de la gestion à distance sur l’interface WAN, ce qui doit être fait malgré tout pour une meilleure sécurité globale.

Il est conseillé aux utilisateurs d’appliquer les modifications de configuration jusqu’à ce qu’ils migrent vers les routeurs Cisco Small Business RV132W, RV160 ou RV160W, que le fournisseur prend activement en charge.

Cisco a averti l’année dernière que les administrateurs devaient passer à des modèles plus récents après avoir révélé qu’ils ne corrigeraient pas une vulnérabilité critique du service Universal Plug-and-Play (UPnP).

Cette semaine, Cisco a corrigé une vulnérabilité critique dans Cisco Secure Email qui pourrait permettre aux attaquants de contourner l’authentification et de se connecter à l’interface de gestion Web de la passerelle de messagerie Cisco.