Cisco a corrigé des failles de sécurité critiques affectant les routeurs VPN Small Business et permettant à des attaquants distants non authentifiés d’exécuter du code ou des commandes arbitraires et de déclencher des conditions de déni de service sur les appareils vulnérables.
Une exploitation réussie de CVE-2022-20842 avec une entrée HTTP élaborée pourrait permettre aux attaquants « d’exécuter un code arbitraire en tant qu’utilisateur root sur le système d’exploitation sous-jacent ou de provoquer le rechargement de l’appareil, ce qui entraînerait une situation de déni de service », explique l’entreprise.
La liste complète des routeurs concernés par ces bogues comprend les routeurs VPN Small Business des séries RV160, RV260, RV340 et RV345.
L’équipe de réponse aux incidents de sécurité des produits de l’entreprise a déclaré que Cisco n’avait pas connaissance d’une exploitation active ou d’exploits disponibles publiquement dans la nature.
Aujourd’hui, Cisco a également corrigé un troisième bogue de gravité élevée dans le module Open Plug and Play des routeurs des séries RV160, RV260, RV340 et RV345.
Le mois dernier, Cisco a corrigé une autre série de bogues de sécurité graves dans la solution de gestion de centre de données Cisco Nexus Dashboard, qui permettait à des attaquants non authentifiés d’exécuter des commandes et de réaliser des actions à distance avec des privilèges de root ou d’administrateur.
