[English]Der Hersteller Cisco hat eine Sicherheitswarnung für seine Small Business Router veröffentlicht, dass diese von einer Root-Schwachstelle betroffen seien und zügig auf eine neue Firmware-Version aktualisiert werden sollten.
In der Sicherheitswarnung Cisco Small Business RV160, RV160W, RV260, RV260P, and RV260W VPN Routers Remote Code Execution Vulnerabilities vom 3. Februar 2021 schreibt der Hersteller, dass es gleich mehrere Sicherheitslücken CVE-2021-1289, CVE-2021-1290, CVE-2021-1291 in seinen VPN-Routern gebe. Dazu heißt es:
Mehrere Schwachstellen in der webbasierten Verwaltungsoberfläche der Cisco Small Business RV160, RV160W, RV260, RV260P und RV260W VPN Router könnten einem nicht authentifizierten, entfernten Angreifer die Möglichkeit geben, beliebigen Code als Root-Benutzer auf einem betroffenen Gerät auszuführen.
Diese Schwachstellen bestehen, weil HTTP-Anfragen nicht richtig validiert werden. Ein Angreifer könnte diese Schwachstellen ausnutzen, indem er eine manipulierte HTTP-Anfrage an die webbasierte Verwaltungsoberfläche eines betroffenen Geräts sendet. Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, aus der Ferne beliebigen Code auf dem Gerät auszuführen.
Diese Sicherheitslücken betreffen die folgenden Cisco Small Business Router, wenn sie mit einer Firmware-Version vor Release 1.0.01.02 arbeiten:
- RV160 VPN Router
- RV160W Wireless-AC VPN Router
- RV260 VPN Router
- RV260P VPN Router mit POE
- RV260W Wireless-AC VPN Router
Cisco hat Software-Updates veröffentlicht, die diese Sicherheitslücken beheben. Es gibt keine Workarounds, die diese Sicherheitslücken beheben. Nicht von dieser Schwachstelle betroffen sind die nachfolgenden Modelle:
- RV340 Dual WAN Gigabit VPN Router
- RV340W Dual WAN Gigabit Wireless-AC VPN Router
- RV345 Dual WAN Gigabit VPN Router
- RV345P Dual WAN Gigabit POE VPN Router
Weitere Informationen lassen sich in der Cisco-Sicherheitswarnung entnehmen. Bisher gibt es keine bekannten Angriffe, wie Bleeping Computer hier schreibt. Bei heise gibt es diesen Artikel, der auf diverse Schwachstellen, u.a. in Cisco WebEx hinweist.
