Cisco a corrigé les vulnérabilités de sécurité qui affectent plusieurs routeurs VPN Small Business et permettent à des attaquants distants de déclencher un déni de service ou d'exécuter des commandes et du code arbitraire sur les appareils vulnérables.

Les deux failles de sécurité répertoriées sous le nom de CVE-2021-1609 (note : 9,8/10) et CVE-2021-1602 (8,2/10) ont été découvertes dans les interfaces de gestion Web et sont dues respectivement à des requêtes HTTP mal validées et à une validation insuffisante des entrées utilisateur.

CVE-2021-1609 affecte les routeurs RV340, RV340W, RV345, et RV345P Dual WAN Gigabit VPN, tandis que CVE-2021-1602 affecte les routeurs RV160, RV160W, RV260, RV260P, et RV260W VPN.

Les attaquants peuvent exploiter les vulnérabilités à distance sans authentification, en envoyant des requêtes HTTP malveillantes aux interfaces de gestion Web des routeurs concernés.

"L'interface de gestion Web de ces appareils est disponible par défaut via des connexions LAN locales et ne peut pas être désactivée à ce niveau", explique Cisco. " L'interface peut également être rendue disponible via l'interface WAN en activant la fonction de gestion à distance ". Par défaut, la fonction de gestion à distance est désactivée sur les appareils concernés."

Pour savoir si la gestion à distance est activée sur un appareil, il faut ouvrir l'interface de gestion Web du routeur via une connexion LAN locale et vérifier si l'option Paramètres de base > Gestion à distance est activée.

Cisco a publié des mises à jour logicielles pour corriger ces vulnérabilités. Pour les télécharger depuis le Software Center de Cisco, vous devez cliquer sur Browse All sur Cisco.com et naviguer vers « Downloads Home > Routers > Small Business Routers > Small Business RV Series Routers ».