在四個 Cisco SMB 路由器系列中發現嚴重缺陷——今年第二次

思科透露其四個小型企業路由器系列存在嚴重缺陷——僅在 2022 年第二次。

周三的公告警告 RV160、RV260、RV340 和 RV345 系列路由器的所有者，這些漏洞可能允許“未經身份驗證的遠程攻擊者執行任意代碼或在受影響的設備上導致拒絕服務 (DoS) 條件”。

這四個范圍在2022年 2 月被三個 10/10 的錯誤所破壞。

這一次是最嚴重的錯誤 - CVE-2022-20842 - 在通用漏洞評分系統 (CVSS) 上被評為 9.8/10。

利用一個漏洞可能需要利用另一個漏洞

思科表示，RV340、RV340W、RV345 和 RV345P 雙廣域網千兆 VPN 路由器基于 Web 的管理界面中存在漏洞，可能允許執行任意代碼或導致受影響的設備意外重啟，從而導致拒絕服務狀況。“此漏洞是由于對基于 Web 的管理界面的用戶提供的輸入的驗證不充分，”思科表示。

CVE-2022-20827 的等級為 9/10，適用于上述所有四個路由器系列。

思科將該漏洞描述為“網絡過濾器數據庫中的漏洞”，“可能允許未經身份驗證的遠程攻擊者執行命令注入并以 root 權限在底層操作系統上執行命令。

“這個漏洞是由于輸入驗證不足，”思科補充說，這意味著攻擊者將精心設計的輸入提交到 Web 過濾器數據庫更新功能，然后以 root 權限在底層操作系統上執行命令。

CVE-2022-20841 僅 8.3/10 被評為“高”風險錯誤，而不是上述兩個 CVE 的“嚴重”狀態。

“此漏洞是由于對用戶提供的輸入的驗證不足，”思科再次解釋了這一混亂情況。“攻擊者可以通過向受影響的設備發送惡意輸入來利用此漏洞。成功的利用可能允許攻擊者在底層 Linux 操作系統上執行任意命令。要利用此漏洞，攻擊者必須利用中間人位置或在連接到受影響路由器的特定網絡設備上建立立足點。”

建議盡快修補所有三個漏洞，因為思科警告說“這些漏洞相互依賴。”

“利用其中一個漏洞可能需要利用另一個漏洞。此外，受其中一個漏洞影響的軟件版本可能不受其他漏洞影響。”

至少設備的所有者（應該）最近有修補破舊盒子的經驗。

另一個小小的憐憫是，思科不建議將產品分箱，就像幾個月前它對RV110W、RV130、RV130W 和 RV215W路由器所做的那樣。

當然，厭倦了更新小型企業路由器的用戶可能會在沒有思科建議的情況下決定這樣做。