חברת סיסקו חשפה פרצות אבטחה המשפיעות על נתבי ה- Small Business RV340, RV340W, RV345 ו- RV345P Dual WAN Gigabit VPN. פרצות אלו עלולות לחשוף עסקים לסיכוני אבטחה חמורים. סיסקו מזהירה כי האקרים יכולים לנצל את הפגמים הללו כדי להסלים הרשאות גישה ולהפעיל פקודות שרירותיות במכשירים המושפעים, מה שיהווה איום על השלמות והאבטחה של רשתות עסקיות קטנות.
פגיעות הסלמת הרשאות: פגם זה בחומרה גבוהה מאפשר להאקרים להסלים הרשאות גישה מהרשאות אורח להרשאות מנהל בנתב. פגיעות זו מושרשת בממשק הניהול המקוון. ניצול הפגם הזה מחייב שליחת קלט HTTP למכשיר, המאפשר להאקרים להשיג שליטה ניהולית בלתי מורשית. סיסקו מדגישה כי הפגיעות הזו קיימת מכיוון שממשק הניהול המקוון חושף מידע רגיש.
פגיעות הפעלת פקודה מרחוק: פגם זה בחומרה בינונית מאפשר להאקרים בעלי אישורי מנהל תקפים, להפעיל קוד שרירותי על מערכת ההפעלה הבסיסית של הנתב המושפע. הפגיעות נובעת מאימות בלתי מספיק של קלט שסופק על ידי המשתמש בממשק הניהול המקוון. על ידי שליחת קלט HTTP, יכולים האקרים לנצל את הפגם הזה כדי לבצע פקודות שרירותיות עם הרשאות שורש. סיסקו מזהירה כי ניצול מוצלח של הפגם עלול לאפשר להאקרים לבצע קוד שרירותי כמשתמש השורש במערכת ההפעלה הבסיסית.
המכשירים הבאים פגיעים לפרצות האבטחה:
- RV340 Dual WAN Gigabit VPN
- RV340W Dual WAN Gigabit Wireless-AC VPN
- RV345 Dual WAN Gigabit VPN
- RV345P Dual WAN Gigabit PoE VPN
עסקים נדרשים לבדוק את תצורת הנתבים שלהם כדי להבטיח שתכונת הניהול מרחוק מושבתת, שכן שהדבר עלול להפחית את החשיפה לפגיעויות האבטחה. סיסקו הסבירה: "ממשק הניהול המקוון של התקנים אלו זמין דרך חיבור LAN מקומי שאינו ניתן לביטול, או דרך חיבור ה- WAN אם תכונת הניהול מרחוק מופעלת. כברירת מחדל, תכונת הניהול מרחוק מושבתת."
למרבה הצער, סיסקו אישרה שאין דרכים זמינות לעקיפת הפגיעויות. מה שהופך את המצב לגרוע יותר, הוא שהנתבים המושפעים מהפגיעויות הללו כבר עברו את מועדי סוף החיים שלהם, כלומר סיסקו לא תשחרר עדכוני תוכנה כדי לתקן את הפגמים הללו. כתוצאה מכך נותרים עסקים קטנים המשתמשים במכשירים אלו חשופים למתקפות סייבר פוטנציאליות. צוות התגובה לאירועי אבטחת מוצרי סיסקו (PSIRT) הצהיר: "סיסקו לא שחררה ולא תשחרר עדכוני תוכנה המטפלים בפגיעויות אלו מכיוון שהמוצרים המושפעים עברו את תאריכי סוף תחזוקת התוכנה."
בהתחשב בכך שאין תיקוני תוכנה או דרכים לעקיפת הבעיה, ממליצה סיסקו לעסקים להתייחס להודעות סוף החיים של מוצרים אלו ולשקול שדרוג למכשירים חדשים יותר שעדיין מקבלים עדכוני אבטחה פעילים. אמנם אין עדיין ראיות לכך שפגיעויות האבטחה הללו נוצלו, אך חשיפתן מעמידה את העסקים המושפעים בכוננות גבוהה. היעדר עדכונים ודרכים לעקיפת הבעיה מהווה אתגר אבטחה משמעותי עבור ארגונים המשתמשים בנתבים אלו. פעולה מיידית, כולל מעבר למכשירים מאובטחים יותר, צריכה להיות בראש סדר העדיפויות לשמירה על אבטחת הרשת ומניעת גניבת מידע.
