思科修复 SMB VPN 路由器中严重远程代码执行漏洞
思科解决了小型企业VPN路由器中的多个预身份验证远程代码执行（RCE）漏洞，这些漏洞身份执行任意代码。
思科已修复了多个小型企业VPN路由器中的多个预身份验证远程代码执行（RCE）漏洞。未经身份验证的远程攻击者可能会利用这些漏洞，以易受攻击的设备为根执行任意代码。
漏洞（CVE-2021-1289，CVE-2021-1290，CVE-2021-1291，CVE-2021-1292，CVE-2021-1293，CVE-2021-1294，CVE-2021-1295）已获得CVSS评分9.8 / 10。
漏洞存在于Cisco Small Business RV160，RV160W，RV260，RV260P和RV260W VPN路由器的基于Web的管理界面中。
“Cisco Small Business RV160，RV160W，RV260，RV260P和RV260W VPN路由器的基于Web的管理界面中的多个漏洞可能允许未经身份验证的远程攻击者以root用户的身份在受影响的设备上执行任意代码。” 阅读思科发布的建议。
这些漏洞之所以存在，是因为未正确验证HTTP请求。攻击者可以通过将精心设计的HTTP请求发送到受影响设备的基于Web的管理界面来利用这些漏洞。成功的利用可能使攻击者能够在设备上远程执行任意代码。”
这家IT巨头透露，如果以下Cisco Small Business Router运行的固件版本早于1.0.1.02，则这些漏洞会影响它们：
- RV160 VPN路由器
- RV160W无线AC VPN路由器
- RV260 VPN路由器
- 带有POE的RV260P VPN路由器
- RV260W无线AC VPN路由器
而以下设备不受影响：
- RV340双WAN千兆VPN路由器
- RV340W双WAN千兆无线AC VPN路由器
- RV345双WAN千兆VPN路由器
- RV345P双WAN千兆POE VPN路由器
思科已通过固件版本1.0.01.02和更高版本解决了该漏洞，该供应商补充说，没有解决这些漏洞的变通办法。
好消息是，思科产品安全事件响应团队（PSIRT）没有意识到利用上述漏洞进行的攻击。
该漏洞是由趋势科技“零日”活动的T. Shiomitsu，Chaitin安全研究实验室的运作和1AQ Team的简单报告给Cisco的。
思科今天还解决了严重漏洞，该漏洞影响其他业务路由器和IOS XR软件。
上个月，思科还修补了多个预身份验证RCE漏洞，这些漏洞影响了多个SD-WAN产品和Cisco Smart Software Manager软件。
