Admins sollten ihre Small Business Router von Cisco auf den aktuellen Stand bringen. Andernfalls könnten Angreifer mehrere "kritische" Sicherheitslücken ausnutzen, um als Root Schadcode auf Geräten auszuführen.
Einer Warnmeldung von Cisco zufolge, müssten Angreifer dafür lediglich präparierte HTTP-Anfragen an das Web-Management-Interface von verwundbaren Router schicken. Aufgrund einer nicht ausreichenden Prüfung kann das dazu führen, dass ein entfernter und nicht angemeldeter Angreifer eigene Befehle mit Root-Rechten ausführen kann.
Als betroffene Geräte listet Cisco die VPN-Router RV160, RV160W, RV260, RV260P, und RV260W auf. Die Firmware 1.0.01.02 ist gegen die beschriebene Attacke abgesichert. Alle vorigen Versionen sollen verwundbar sein.
Weitere Lücken
Angreifer könnten noch zusätzliche Schwachstellen in Small Business Router ausnutzen und so Geräte via DoS-Attacke neu starten lassen. Lücken im Betriebssystem IOS XR gefährden unter anderem Router der 8000 Series. Hier könnten sich Angreifer mit einem gültigen Account Root-Rechte verschaffen. Der Bedrohungsgrad ist mit "hoch" eingestuft.
Aufgrund einer Schwachstelle im User Interface von Webex Meetings könnte ein Angreifer einen Hyperlink in Einladungsmails unterbringen. Die Lücke ist mit der Einstufung "mittel" versehen.
Liste nach Bedrohungsgrad absteigend sortiert:
- Small Business RV160, RV160W, RV260, RV260P, and RV260W VPN Routers Remote Code Execution
- IOS XR Software for Cisco 8000 Series Routers and Network Convergence System 540 Series Routers Privilege Escalation
- Small Business RV160, RV160W, RV260, RV260P, and RV260W VPN Routers Arbitrary File Write
- IOS XR Software IPv6 Flood Denial of Service
- Small Business RV Series Routers Management Interface Remote Command Execution and Denial of Service
- Small Business RV Series Routers Management Interface Command Injection
- IOS XR Software for Cisco 8000 Series Routers and Network Convergence System 540 Series Routers Image Verification
- IOS XR and Cisco NX-OS Software IPv6 Access Control List Bypass
- IOS XR Software Unauthorized Information Disclosure
- IOS XR Software SNMP Management Plane Protection ACL Bypass
- Unified Computing System Central Software Improper Certificate Validation
- Managed Services Accelerator Denial of Service
- Webex Meetings and Cisco Webex Meetings Server Software Hyperlink Injection