Cisco heeft beveiligingsupdates uitgebracht voor een kritieke kwetsbaarheid waardoor verschillende vpn-routers op afstand door een ongeauthenticeerde aanvaller zijn over te nemen. Het beveiligingslek, aangeduid als CVE-2021-1609, is aanwezig in de Cisco Small Business RV340, RV340W, RV345 en RV345P Dual WAN gigabit vpn-routers.

De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 met een 9,8 beoordeeld. Het beveiligingslek wordt veroorzaakt doordat de webinterface http-requests niet goed valideert. Door het versturen van een speciaal geprepareerd http-request kan een aanvaller willekeurige code op het apparaat uitvoeren of een denial of service veroorzaken.

Cisco merkt op dat de webinterface standaard niet vanaf het internet toegankelijk is, maar gebruikers dit wel zelf kunnen inschakelen, bijvoorbeeld voor beheer op afstand. Om de kwetsbaarheid te verhelpen heeft Cisco beveiligingsupdates uitgebracht. Workarounds zijn niet beschikbaar, aldus de netwerkfabrikant.

Small Business RV160 en RV260 vpn-routers

Daarnaast heeft Cisco ook beveiligingsupdates voor de Small Business RV160 en RV260 vpn-routers uitgebracht. Daarmee wordt een beveiligingslek (CVE-2021-1602) in de webinterface verholpen dat het voor een ongeauthenticeerde aanvaller mogelijk maakte om op afstand willekeurige commando's met rootrechten uit te voeren.

Dit beveiligingslek, waarvan de impact met een 8,2 is beoordeeld, wordt door het niet goed valideren van gebruikersinvoer veroorzaakt. Ook in dit geval stelt Cisco dat de webinterface standaard niet vanaf het internet toegankelijk is. Voor de RV160, RV160W, RV260, RV260P en RV260W zijn patches beschikbaar.