Lỗ hổng bảo mật nghiêm trọng của các router Cisco Small Business cũ sẽ không được vá

Một lỗ hổng nghiêm trọng trong các thiết bị router dòng Small Business của Cisco sẽ không được hãng cung cấp bản vá vì các thiết bị này đã kết thúc vòng đời (end of life) vào năm 2019.

Lỗ hổng này có mã theo dõi là CVE-2021-34730, sự cố nằm trong dịch vụ Universal Plug-and-Play (UPnP) của router, cho phép hacker có thể thực thi lệnh từ xa đến router mà không cần chứng thực hay đăng nhập. Hoặc khởi động lại router một cách đột ngột, dẫn đến ngưng trệ hoạt động của thiết bị.

Trong lỗ hổng này, Cisco cho hay nguyên nhân do tính năng xác thực các truy cập UPnP, kẻ xấu có thể gửi các request UPnP đặc biệt đến các thiết bị để thực hiện thực thi lệnh từ xa (remote code excution) với quyền người dùng root (người dùng có quyền cao nhất).

"Cisco đã không phát hành và sẽ không phát hành các bản cập nhật phần mềm để giải quyết lỗ hổng bảo mật", Cisco lưu ý trong công bố hôm thứ Tư. "Router Cisco Small Business RV110W, RV130, RV130W và RV215W đã bước vào quá trình cuối vòng đời. Khách hàng được khuyến khích chuyển sang các router Cisco Small Business RV132W, RV160 hoặc RV160W."

Sự cố ảnh hưởng đến các sản phẩm sau:

Wireless-N VPN Firewalls RV110W
Router VPN RV130
Router VPN RV130W Wireless-N Multifunction
Router VPN RV215W Wireless-N

Trong trường hợp không có bản vá, Cisco khuyến nghị khách hàng vô hiệu hóa UPnP.

Dean Ferrando, một kỹ sư hệ thống tại Tripwire cho hay: "Lỗ hổng không được vá này là mục tiêu tuyệt vời cho các hacker, vì vậy tổ chức nào vẫn đang sử dụng các Router VPN cũ hãy ngay lập tức kiểm tra thiết bị của họ".

Đây cũng là lần thứ hai trong năm Cisco tuyên bố sẽ không vá các lỗ hổng bảo mật ở các thiết bị đã end-of-life. Trước đó là lỗ hổng tương tự với mã CVE-2021-1459.

Theo Thehackernews

Chia sẻ bài viết này