思科修复 SMB VPN 路由器中严重的代码执行漏洞
编译：奇安信代码卫士团队
思科已修复影响小企业 VPN 路由器的多个预认证远程代码执行漏洞，可导致攻击者在成功被利用的设备上以 root 权限执行任意代码。
Root 用户是 Unix 操作系统上的系统超级用户，它是一个特别的用户账户，通常仅用于执行系统管理任务。
这些漏洞的评分为9.8分，位于思科小企业路由器的 Web 管理接口中。思科解释称，“这些漏洞存在的原因在于 HTTP 请求未得到正确验证。攻击者可向受影响的 Web 管理接口发送特殊构造的 HTTP 请求，利用这些漏洞。”
思科指出，如下小企业路由器易受试图利用这些漏洞的攻击，前提是这些路由器运行的固件版本早于1.0.01.02：
RV160 VPN Router
RV160W Wireless-AC VPN Router
RV260 VPN Router
RV260P VPN Router with POE
RV260W Wireless-AC VPN Router
思科表示，其 Dual WAN Gigabit VPN 路由器（包括 RV340、RV340W、RV345 和 RV345P）不受影响。思科已修复固件版本 1.0.01.02及后续版本中的漏洞。
如需更新，则可遵循思科软件中心给出的步骤执行：
1、点击Browse all。
2、选择Routers > Small Business Routers > Small Business RV Series Routers。
3、选择合适的路由器。
4、选择Small Business Router Firmware。
5、从产品页的左边面板选择版本。
幸运的是，即使无法立即修复易受攻击的路由器，思科产品安全事件响应团队 (PSIRT) 表示并未“发现漏洞遭公开或恶意利用”。另外，思科还解决了影响其它企业路由器和 IOS XR 软件的多个高危漏洞。上个月，思科还修复了影响SD-WAN 产品和思科 Smart Software Manager 软件的多个预认证 RCE 漏洞。
SolarLeaks 出售微软思科等公司源代码等数据，打包价$100万
https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-code-execution-bugs-in-smb-vpn-routers/
题图：Pixabay License
本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的
产品线。