Cisco không vá lỗ hổng zero-day trong một số bộ định tuyến dành cho doanh nghiệp nhỏ

[DDos]

Cisco sẽ không phát hành bản vá cho một lỗ hổng bỏ qua xác thực ảnh hưởng đến nhiều bộ định tuyến VPN doanh nghiệp nhỏ đã hết hạn hỗ trợ.

Có mã định danh CVE-2022-20923, lỗ hổng bắt nguồn từ thuật toán xác thực mật khẩu bị lỗi. Hacker có thể khai thác để đăng nhập vào VPN trên các thiết bị bị ảnh hưởng bằng cách sử dụng "thông tin xác thực được chế tạo đặc biệt" nếu tính năng máy chủ IPSec VPN được bật.

Cisco cho biết: "Khai thác thành công có thể cho phép kẻ tấn công bỏ qua xác thực và truy cập vào mạng IPSec VPN".

"Tùy thuộc vào thông tin xác thực được sử dụng, hacker có thể có đặc quyền quản trị viên".

Để xác định xem IPSec VPN Server có được bật trên bộ định tuyến hay không, bạn cần đăng nhập vào giao diện quản lý dựa trên web và tìm tới tùy chọn VPN> IPSec VPN Server> Setup.

Nếu tùy chọn "Server Enable" được bật, điều đó có nghĩa là thiết bị bị ảnh hưởng bởi lỗi CVE-2022-20923.

Cisco không ghi nhận bất kì mã khai thác cũng như việc tin tặc khai thác lỗ hổng này trong thực tế.

Cisco khuyến cáo khách hàng sử dụng bộ định tuyến RV110W, RV130, RV130W và RV215W bị ảnh hưởng bởi lỗ hổng này nên nâng cấp lên các mẫu mới hơn để tiếp tục nhận được các bản vá an ninh.

Theo thông báo chính thức của Cisco, hãng đã ngừng bán hàng các thiết bị này kể từ ngày 2 tháng 12 năm 2019.

Cisco cho biết: "Công ty sẽ không phát hành bản vá cho lỗ hổng này. Khách hàng nên chuyển sang sử dụng bộ định tuyến RV132W, RV160, hoặc RV160W".

Theo: bleepingcomputer​