Çarşamba günü yayınlanan bir güvenlik danışmanında Cisco, birden fazla küçük işletme VPN yönlendiricilerinin evrensel eklenti ve oyun (UPnP) hizmetinde kritik bir kırılganlığın, cihazların yaşam sonu ulaştığı için yamalı olmayacağını söyledi.
Sıfır gün böcek (CVE-2021-34730 olarak izlenir ve 9.8/10 ciddiyet skoru ile derecelendirilmiş), gelen UPnP trafiğinin yanlış doğrulanmasından kaynaklanır ve IOT Müfettişi Araştırma Laboratuarının Quentin Kaiser tarafından bildirildi.
Etkinleştirilmemiş saldırganlar, savunmasız aygıtları yeniden başlatmak veya temel işletim sisteminin kök kullanıcısı olarak uzaktan keyfi kod yürütmek için kullanabilirler.
Şirket, "Cisco yayınlanmadı ve bu danışmanlıkta açıklanan güvenlik açığını ele almak için yazılım güncellemelerini serbest bırakmayacak" diyor.
"Cisco Small Business RV110W, RV130, RV130W ve RV215W yönlendiricileri, yaşam sonu sürecine girdi."
Cisco'nun web sitesindeki bir duyuruya göre, bu RV serisi yönlendiricilerin sipariş için mevcut olduğu son gün 2 Aralık 2019 idi.
Şirket, hala bu yönlendirici modelleri kullanan müşterilere, daha yeni Cisco Small Business RV132W, RV160 veya RV160W yönlendiricilerine hala güvenlik güncelleştirmeleri alan RV160W yönlendiricileriyle eşleştirir.
Ek olarak, Cisco, ürün güvenliği olayının yanıt ekibinin (PSTT), bu sıfır gün için herhangi bir kamuoyu kanıtı istismarı veya vahşi doğada hatayı sömüren herhangi bir tehdit aktörünün farkında olmadığını söylüyor.
Hata, RV110W, RV130, RV130W ve RV215W yönlendirici modellerini yalnızca UPnP hizmeti açılırsa etkiler.
Cisco'ya göre, UPnP, bu cihazlar için LAN (Yerel Alan Ağı) arayüzleri (yerel alan ağı) arayüzleri için varsayılan olarak etkinleştirilir ve tüm WAN (geniş alan ağı) arayüzleri için varsayılan olarak devre dışı bırakılır.
Hizmeti hem LAN hem de WAN arabirimlerinde devre dışı bırakıldığında etkilenen yönlendirici modeller savunmasız değil.
Cisco, bu kritik güvenlik açığını ele almak için güvenlik güncelleştirmelerini serbest bırakmayı planlamazken, Yöneticiler, UPnP servisini web tabanlı yönetim arayüzü yoluyla tüm etkilenen yönlendiricilerdeki UPnP servisini devre dışı bırakarak saldırıları engellemek için saldırı vektörünü kaldırabilirler.
CISCO, "UPnP özelliğinin bir cihazın LAN arabiriminde etkin olup olmadığını belirlemek için, Web tabanlı yönetim arayüzünü açın ve Temel Ayarlar> UPNP'ye gidin" diye ekledi. "Devre Dışı Bırak onay kutusu işaretlenmemişse, Cihazda UPNP etkinleştirilir."
Cisco, iki hafta önce, geçen ay açıklanan Adaptif Güvenlik Aygıt Yöneticisi'ndeki (ADSM) başlatıcısındaki başka bir uzaktan kod yürütme (RCE) hatasının, bir güvenlik güncelleştirmesi almayan sıfır gündür.
Şirket ayrıca, Cisco AnyConnect Secure Mobility Client VPN yazılımında, ilk açıklamadan altı ay sonra, bir sıfır günlük güvenlik açığı (CVE-2020-3556) için bir yama yayımladı, ancak halka açık bir konseptten faydalanın.
Cisco'nun gecikmenin arkasındaki nedeni paylaşmasa da, bir düzeltme önceliği değil, çünkü vahşi suistimalde bir kanıt yoktu ve varsayılan yapılandırmalar saldırılara karşı savunmasız değildi.
Tehdit aktörleri bu iki kusurdan yararlanamamış olsa da, bir POC'tan hemen sonra Twitter'da serbest bırakıldıktan hemen sonra Cisco ASA hatası (2020 Ekim ayında ve 2021 Nisan ayında tam olarak ele alındı).
Cisco, VPN Yönlendiricilerindeki Kritik, Yüksek Şiddeti Ön Yetkili Öncesi Kusurlarını Tamir
Cisco: Firewall Manager RCE Hata, sıfır gündür, yama gelen
Fortinet, uzak sunucu devralmasına izin veren sıfır gün yamalı gecikmeler
CISA: Badalloc, BlackBerry QNX kullanarak kritik altyapıyı etkiler.
Microsoft, IOT, OT cihazlarında kritik kod yürütme hatalarını bulur
Kaynak: Bleeping Computer