思科已解决了多个预身份验证远程代码执行（RCE）漏洞，这些漏洞影响了多个小型企业VPN路由器，并允许攻击者以成功利用设备的root用户身份执行任意代码。
超级用户是Unix操作系统上系统的超级用户，这是一个特殊的用户帐户，通常仅用于系统管理任务。
在思科小型企业路由器的基于Web的管理界面中发现了严重等级为9.8 / 10的安全错误。
思科 在今天早些时候发布的一份咨询中解释说： “存在这些漏洞是因为HTTP请求没有得到正确验证。”
“攻击者可以通过向受影响的设备的基于Web的管理界面发送精心设计的HTTP请求来利用这些漏洞。”
适用于所有易受攻击路由器的安全更新
根据思科的说法，如果运行的固件版本低于1.0.01.02版，则以下小型企业路由器容易受到尝试利用这些漏洞的攻击：
RV160 VPN路由器
RV160W无线AC VPN路由器
RV260 VPN路由器
带有POE的RV260P VPN路由器
RV260W无线AC VPN路由器
思科表示其双WAN千兆VPN路由器（包括RV340，RV340W，RV345和RV345P）不受影响。
该公司已修复固件版本1.0.01.02中的漏洞，并随后为所有受影响的路由器发布了该漏洞。
要将路由器更新到最新版本，您必须转到思科软件中心， 然后按照以下步骤操作：
单击 浏览全部。
选择“ 路由器 > 小型企业路由器 > 小型企业RV系列路由器”。
选择适当的路由器。
选择“ 小型企业路由器固件”。
从产品页面的左窗格中选择一个版本。
没有公共剥削或积极剥削
幸运的是，即使您不能立即修补易受攻击的路由器，思科产品安全事件响应团队（PSIRT）仍表示，它“不知道任何公开声明或对该漏洞的恶意使用”。
该漏洞是由T. Shiomitsu，Chaitin安全研究实验室的变迁和1AQ Team的小组发现并报告给Cisco的。
思科今天还解决了严重漏洞，该漏洞影响其他业务路由器和IOS XR软件。
上个月，思科还修补了多个预身份验证RCE漏洞，这些漏洞影响了多个SD-WAN产品和Cisco Smart Software Manager软件。
*编译：Domino
*来自：bleepingcomputer
文章评论