思科小型企业VPN路由器重大漏洞,但已届EOL不会有修补程序

思科近日针对小型企业VPN路由器产品发布安全公告,警告有引发远程程序代码执行的重大漏洞。但是思科也表示这些产品已经来到EOL(end of life),因此思科并不打算修补,企业应考虑升级到新产品。

最新漏洞CVE-2021-34730出在小型企业路由器产品的UPnP服务组件,对外部送入的UPnP流量验证不当所致。攻击者可以借由发送恶意UPnP调用来开采,一旦成功可让攻击者在以根权限在受害设备的底层OS执行任意程序代码,或是引发设备不预期重开机而导致拒绝服务(Denial of Service,DoS)情形。

受影响的设备包括RV110W、RV130、RV130W和RV215W。启动UPnP者可能曝险。其中,UPnP在LAN的管理接口上默认打开,但在WAN管理接口上默认为关闭。若LAN及WAN上都安装了这些设备,且管理接口都使用默认值的话,仍然会有被攻击的风险。因此这项漏洞风险值达到CVSS 3.0的9.8,属于接近满分的重大漏洞。

不过思科表示不会发布软件更新来修补漏洞,因为这4款产品都已经来到产品生命周期终点(EoL),即思科不再支持。思科也建议用户升级到RV132W、RV160或RV160W系列路由器。

发表评论