Cisco Small Business VPN路由器多个高危漏洞预警

一、漏洞情况

近日，Cisco发布安全更新公告，修复了Cisco Small Business RV340, RV340W和RV345等VPN路由器Web管理界面存在的2个高危漏洞，相关漏洞CVE编号为：CVE-2021-1609、CVE-2021-1610。攻击者可利用这些漏洞执行任意代码，或造成拒绝服务。建议受影响用户及时将Cisco Small Business路由器运行的固件升级至安全版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。

二、漏洞等级

高危

三、漏洞描述

Cisco Small Business RV340、RV340W、RV345和RV345P都是美国思科（Cisco）公司的VPN路由器产品。

1. CVE-2021-1609：远程代码执行漏洞

该漏洞是由于对HTTP请求未能正确验证，未经身份验证的远程攻击者可通过向受影响的设备发送特制的HTTP请求，成功利用该漏洞在受影响的设备上执行任意代码或导致设备重新加载，从而导致拒绝服务 (DoS) 条件。

2. CVE-2021-1610：命令注入漏洞

该漏洞是由于对HTTP请求未能正确验证，经过身份验证的远程攻击者可通过向受影响的设备发送特制的HTTP请求，成功利用该漏洞在受影响的设备上以root权限执行任意命令。

四、影响范围

若Cisco Small Business Routers运行的固件版本小于1.0.03.22固件版本，则以下设备会受影响：

• RV340 Dual WAN Gigabit VPN Router
• RV340W Dual WAN Gigabit Wireless-AC VPN Router
• RV345 Dual WAN Gigabit VPN Router
• RV345P Dual WAN Gigabit POE VPN Router

五、安全建议

目前厂商已发布固件更新修复漏洞，建议受影响用户尽快将Cisco Small Business Routers固件升级至1.0.03.22版本。

下载链接：

https://software.cisco.com/download/home

六、参考链接

• https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv340-cmdinj-rcedos-pY8J3qfy
• https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-high-severity-pre-auth-flaws-in-vpn-routers/