1月19日，思科發(fā)布了安全公告，旗下小型企業(yè)RV110W，RV130，RV130W和RV215W路由器中發(fā)現(xiàn)了遠(yuǎn)程命令執(zhí)行等高危漏洞，建議盡快升級(jí)。以下是漏洞詳情：

漏洞詳情

思科小型企業(yè)RV110W，RV130，RV130W和RV215W路由器UPnP遠(yuǎn)程命令執(zhí)行和拒絕服務(wù)漏洞

CVE-2021-1164 CVSS評(píng)分： 9.8 危急

思科小型企業(yè)RV110W，RV130，RV130W和RV215W路由器的通用即插即用（UPnP）服務(wù)中的漏洞可能允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者執(zhí)行任意代碼，或使受影響的設(shè)備意外重啟。

該漏洞是由于傳入的UPnP流量驗(yàn)證不正確造成的。攻擊者可以通過向受影響的設(shè)備發(fā)送精心制作的UPnP請(qǐng)求來(lái)利用此漏洞。成功的利用可能使攻擊者能夠以root用戶身份在底層操作系統(tǒng)上執(zhí)行任意代碼，或?qū)е略O(shè)備重新加載，從而導(dǎo)致拒絕服務(wù)（DoS）條件。

思科小型企業(yè)RV110W，RV130，RV130W和RV215W路由器管理接口遠(yuǎn)程命令執(zhí)行和服務(wù)拒絕漏洞

CVE-2021-1159，。CVE-2021-1360 CVSS評(píng)分：7.2 高

Cisco Small Business RV110W，RV130，RV130W和RV215W路由器的基于Web的管理界面中的多個(gè)漏洞可能允許經(jīng)過身份驗(yàn)證的遠(yuǎn)程攻擊者執(zhí)行任意代碼，或使受影響的設(shè)備意外重啟。

該漏洞是由于在基于Web的管理界面中對(duì)用戶提供的輸入的不正確驗(yàn)證引起的。攻擊者可以通過將精心制作的HTTP請(qǐng)求發(fā)送到受影響的設(shè)備來(lái)利用這些漏洞。成功的利用可能使攻擊者能夠以root用戶身份在底層操作系統(tǒng)上執(zhí)行任意代碼，或?qū)е略O(shè)備重新加載，從而導(dǎo)致拒絕服務(wù)（DoS）條件。要利用這些漏洞，攻擊者需要在受影響的設(shè)備上具有有效的管理員憑據(jù)。

受影響產(chǎn)品

這些漏洞影響以下Cisco Small Business路由器：

RV110W Wireless-N VPN防火墻

RV130 VPN路由器

RV130W Wireless-N多功能VPN路由器

RV215W Wireless-N VPN路由器

解決方案

由于思科精睿RV110W，RV130，RV130W和RV215W路由器已經(jīng)停止提供技術(shù)支持，壽終正寢，因此思科尚未發(fā)布，也不會(huì)發(fā)布軟件更新來(lái)解決此通報(bào)中描述的漏洞。思科建議客戶遷移到Cisco小型企業(yè)RV132W，RV160或RV160W路由器。
責(zé)任編輯:pj